博客 > SingCERT 警告:在多个 WordPress 插件中发现严重漏洞
浏览量:588次评论:0次
作者:锐成网络整理时间:2024-05-28 17:45:16
近日,新加坡计算机应急响应中心(SingCERT)报告了9个重要的 WordPress 插件漏洞,这些WordPress插件漏洞被视为关键漏洞,可能允许恶意行为者进行未经授权的访问和利用,会对网站安全构成重大风险。对此,SingCERT发出了严重警告,并分享了缓解策略,以避免被威胁行为者利用,以下是相关内容。
一、SingCERT发现的多个WordPress插件漏洞
SingCERT发现了这些关键的WordPress漏洞,包括允许任意文件上传和SQL注入的漏洞。这些漏洞如下:
1、WordPress Copymatic
AI内容编写器和生成器:利用此漏洞(CVE-2024-31351),未经身份验证的攻击者可以将任意文件上传到网站,从而可能损害其完整性。CVSSv3.1的最高得分为10分(满分10分),这突出了该漏洞的严重性,影响了1.7之前的插件版本。
2、饼图寄存器
社交网站登录(附加组件):通过CVE-2024-4544识别,此插件漏洞允许绕过身份验证,可能导致对用户帐户的未经授权访问。CVSSv3.1的得分为9.8(满分10分),1.7.8之前的插件版本会受到影响。
3、哈希表单拖放表单生成器
Hash Form Drag & Drop Form Builder 存在漏洞 (CVE-2024-5084),未经身份验证的攻击者可上传任意文件,从而在受影响的网站上远程执行代码。该漏洞的严重性为 9.8(满分 10 分),影响 1.1.1 之前的插件版本。
4、国家 州 城市下拉 CF7 插件
在此插件中发现的漏洞 (CVE-2024-3495) 允许 SQL 注入,可能会危及网站数据库中存储的敏感数据。该漏洞的评级为 9.8(满分 10 分),2.7.3 之前的版本受影响。
5、用于 Elementor 的 WPZOOM 附加组件(模板、小工具)
该漏洞(CVE-2024-5147)可让未经身份验证的攻击者在服务器上上传和执行任意文件,对网站安全构成严重威胁。1.1.38 之前版本的插件存在漏洞,CVSSv3.1 得分为 9.8(满分 10 分)。
6、商业目录插件
Easy Listing Directories: 该插件存在 SQL 注入 (CVE-2024-4443) 漏洞,未经身份验证的攻击者可利用该漏洞从网站数据库中提取敏感信息。该插件的 CVSSv3.1 得分为 9.8(满分 10 分),6.4.3 之前的版本存在风险。
7、UserPro 插件
该漏洞(CVE-2024-35700)可让攻击者提升权限,从而完全控制受影响的网站。该插件 5.1.9 之前的版本受影响,CVSSv3.1 得分为 9.8(满分 10 分)。
8、Fluent Forms 联系表单插件
此插件的漏洞版本 (CVE-2024-2771) 允许权限升级,给网站安全带来重大风险。5.1.17 之前的版本受到影响,CVSSv3.1 得分为 9.8(满分 10 分)。值得注意的是,该漏洞正被积极利用。
9、网络目录免费插件
此插件漏洞 (CVE-2024-3552) 允许未经身份验证的攻击者通过 SQL 注入直接与网站数据库交互,可能导致数据被盗。1.7.0 之前的版本受影响,CVSSv3.1 得分为 9.3(满分 10 分)。
二、WordPress漏洞的缓解策略
强烈建议使用这些WordPress插件受影响版本的用户和管理员立即更新到最新版本,以缓解这些漏洞,并保护他们的网站免受潜在的攻击。
有关缓解这些WordPress插件漏洞的更多详细信息和指导,用户可以参考开发人员提供的相应插件文档和更新。此外,采用虚拟修补等安全措施可以在等待更新时提供临时保护。
要确保 WordPress 网站安全,需要采取积极主动的措施,包括定期更新和监控漏洞。通过随时了解情况并及时解决安全问题,网站所有者可以有效保护其在线资产免受潜在威胁。
来源:thecyberexpress
资料链接:https://thecyberexpress.com/wordpress-plugin-vulnerabilities/
相关文章推荐
2024-09-06 14:17:42
2024-09-05 16:00:44
2024-09-05 15:26:03
2024-09-03 13:52:18
2024-09-02 13:55:27
热门工具
标签选择
阅读排行
我的评论
还未登录?点击登录