WordPress插件漏洞(WordPress 插件 OptinMonster 漏洞)

WordPress插件漏洞：Wordfence 的 WordPress 安全研究人员报告说，在 OptinMonster WordPress 插件中发现了一个漏洞，该漏洞允许黑客上传恶意脚本来攻击站点访问者并导致整个站点被接管。未能执行基本安全检查会使超过一百万个站点暴露于潜在的黑客事件中。

Wordfence 研究人员评论说：

“……我们详细介绍了 OptinMonster 插件中的一个缺陷，它启用了一个危险的利用链，使未经身份验证的攻击者有可能检索站点的敏感数据并获得对 OptinMonster 用户帐户的未经授权的访问，这些帐户可用于向易受攻击的站点添加恶意脚本。 ”

缺乏 REST-API 端点能力检查

这个漏洞并不是因为黑客真的很聪明并找到了一种巧妙的方法来利用一个完美编码的 WordPress 插件。恰恰相反。

据流行的 WordPress 安全公司 Wordfence 的安全研究人员称，该漏洞是由于 OptinMonster WordPress 插件中的 WordPress REST-API 实现失败导致“能力检查不足。”

正确编码后，REST-API 是一种扩展 WordPress 功能的安全方法，它允许插件和主题与 WordPress 站点交互以管理和发布内容。它允许插件或主题直接与网站数据库交互，而不会影响安全性…… 如果正确编码。

WordPress REST-API 文档指出：

“……了解 API 最重要的一点是，它支持块编辑器和现代插件界面，而不会影响您网站的安全性或隐私。”

WordPress REST-API 应该是安全的。

不幸的是，由于 OptinMonster 实现 WordPress REST-API 的方式，所有使用 OptinMonster 的网站的安全性都受到了影响。

大多数 REST-API 端点受到威胁

REST-API 端点是表示插件或主题可以修改和操作的 WordPress 站点上的帖子和页面的 URL。

但根据 Wordfence 的说法，OptinMonster 中几乎每个 REST-API 端点的编码都不正确，危及网站安全。

Wordfence 评论了 OptinMonster 的 REST-API 实现有多糟糕：

“……大多数 REST-API 端点的实现都不安全，这使得未经身份验证的攻击者可以访问运行易受攻击版本插件的站点上的许多不同端点。

…几乎所有在插件中注册的其他 REST-API 端点都容易受到授权绕过，因为能力检查不足，允许未经身份验证的访问者，或者在某些情况下，具有最低权限的经过身份验证的用户可以执行未经授权的操作。”

未经身份验证意味着攻击者未以任何方式在被攻击的网站上注册。

某些漏洞要求攻击者注册为订阅者或贡献者，这使得攻击站点变得更加困难，尤其是在站点不接受订阅者注册的情况下。

这个漏洞根本没有这样的障碍，利用 OptinMonster 不需要身份验证，与经过身份验证的漏洞利用相比，这是最坏的情况。

Wordfence 警告说，使用 OptinMonster 对网站进行的攻击可能有多严重：

“……任何未经身份验证的攻击者都可以向运行 OptinMonster 的站点添加恶意 JavaScript，这最终可能导致站点访问者被重定向到外部恶意域，并且如果添加 JavaScript 以注入新的管理用户帐户或覆盖插件，站点将被完全接管带有 webshell 的代码以获得对网站的后门访问。”

引文

在 Wordfence 阅读关于 OptinMonster 的报告

1,000,000 个站点受 OptinMonster 漏洞影响

if( typeof sopp !== “undefined” && sopp === ‘yes’ ){
fbq(‘dataProcessingOptions’, [‘LDU’], 1, 1000);
}else{
fbq(‘dataProcessingOptions’, []);
}

fbq(‘init’, ‘1321385257908563’);

fbq(‘track’, ‘PageView’);

fbq(‘trackSingle’, ‘1321385257908563’, ‘ViewContent’, {
content_name: ‘optinmonster-vulnerability’,
content_category: ‘news wp ‘
});

本文《WordPress插件漏洞(WordPress 插件 OptinMonster 漏洞)》由网赚联盟（ wangzhuan.org.cn ）整理或原创，感谢您的阅读。

随机文章

SEO小小课堂网
SEO教程
网站内容优化
GEO培训
SEO小小课堂网
站长导航
友情链接交换
关键词排名优化

百度搜索“网赚联盟”即可找到本站，微信搜索“小小课堂网”关注小小课堂网公众号。网赚联盟（ wangzhuan.org.cn ）欢迎用户投稿，发布者：用户投稿，文章版权归作者所有，投稿文章不代表网赚联盟立场，中二少年发布为网赚联盟原创文章，转载请注明出处：https://wangzhuan.org.cn/123206.html