创新科技资讯：​WordPress插件漏洞可以被完全接管网站

连日来​WordPress插件漏洞可以被完全接管网站向来一不断的有小伙伴关注，不仅如此还衍生出了各大相关话题，那么跟着小编来看看​WordPress插件漏洞可以被完全接管网站以及它的相关资讯吧！

一个Word Press插件被发现包含“容易开辟”的安全问题，可以被利用来完全接管脆弱的网站。

插件的核心，WP数据库重置，是用来重置数据库-完全或基于特定的表-而不需要经过标准的Word Press安装过程。

周四，Wordfence安全小组说，1月7日发现了两个严峻的漏洞。根据Wordfence的Chloe Chamberland的说法，任何一个漏洞都可以用来强制一个完整的网站重置或接管。

跟踪为CVE-2020-7048，第一个关键安全缺陷已公布CVSS得分9.1分..由于没有任何数据库重置功能是通过任何检查或安全检查来安全的，任何用户都可以在没有身份验证的情况下重置他们希翼的任何数据库表。

另请参阅：Word Press插件中的关键bugInfiniteWP，WP Time Capsule将32万个网站暴露于攻击中

要把一个网站重置为基本功能，只需要简单的请求就可以了——在几秒钟内删除帖子、页面、评论、用户、上传的内容等等。

另一个漏洞被跟踪为CVE-2020-7047，并公布CVSS评分为8.1，同意 任何经过认证的用户，无论其权限级别如何，不仅授予自己上帝级别的治理特权，而且“通过简单的请求将所有其他用户从表中删除”。

Chamberland说：“每当wp_users表被重置时，它就会从用户表中删除所实用户，包括任何治理员，除了当前登录的用户。“发送请求的用户将自动升级到治理员，即使他们只是一个订阅者。”

因此，作为唯一的治理员，攻击者将能够劫持一个脆弱的网站，并完全操纵内容治理系统。

1月8日，WP数据库重置的开辟人员在安全小组核实了他们的发现之后才意识到安全问题。到了1月13日，开辟商已经响应承诺，将于1月14日公布补丁，导致几天后公开披露。

建议插件的用户立即更新到最新版本的WP数据库重置，3.15。在编写本报告时，惟独5.2%的用户进行了升级。

本周早些时候，无限WP客户端和WP Time Capsule Word Press插件的用户被警告要将他们的软件更新到现有的最新版本，以减少通过新报告的漏洞被利用的风险。

这两个插件加起来大约在32万个活跃网站上使用。代码中发现的逻辑错误可以被利用来同意 攻击者在没有密码的情况下登录，而且由于利用这些逻辑错误的恶意有效负载可以绕过防火墙保护，更新是至关重要的。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！