IT業界資訊媒體

【快啲升級】WordPress 留言漏洞痛失管理權

WordPress 係唔少人用嚟架構網站嘅平台,由於有唔少方便嘅外掛功能供使用,所以全球有 ⅓  網站都係用 WordPress 嚟管理。正因為咁多人用,自然吸引黑客發掘漏洞。曾多次發現 WordPress 漏洞嘅 RIPS Technologies 安全專家 Simon Scannell 又有新貢獻,佢指出 WordPress 存在 CSRFCross-Site Request Forgery, 跨站請求偽造 )驗證漏洞,黑客可以通過誘騙網站管理員點擊連結,從而假冒管理員身份喺留言區發佈內含 HTML 代碼嘅內容,隱密地遙距下載惡意程式,從而奪取 WordPress 帳戶嘅控制權。

今次 WordPress 出現嘅漏洞,全因留言功能不設 CSRF 驗證,所以只要黑客成功誘騙網站管理員點擊惡意連結,取得內含管理員 ID Cookies,就可發動上述嘅 CSRF 攻擊。不過要能夠成功發動攻擊,必須滿足以下修件,首先係用家嘅 WordPress 允許留言功能,其次係誘騙管理員點擊惡意連結時,管理員仍未登出 WordPress 帳戶。 Scannell 指去年十月已發現呢個漏洞, WordPress 方面亦一直努力修補,並喺早幾日發佈嘅 WordPress 5.1.1 版本上堵塞漏洞。如果用家仲未更新去呢個版本,就要快快關閉留言功能,同時每次都要登出帳戶,就可以避免受到攻擊,不過最好當然係盡快更新 WordPress 5.1.1 版本啦。

Caption: WordPress 嘅程式碼可見,訪客嘅留言係唔可以包含 HTML 內容,只得管理員先可以做到。

資料來源:https://bit.ly/2TGa71M