探索网络安全新技术
攀登黑客技术最高峰

警惕WordPress插件新漏洞 超过200万个WordPress网站受到威胁

WordPress的高级自定义字段插件的用户被敦促更新版本6.1.6,因为发现了一个安全漏洞。这个问题被分配了标识符CVE-2023-30777,它涉及反射型跨站脚本攻击(XSS),可被滥用来将任意可执行脚本注入到本来无害的网站中。

警惕WordPress插件新漏洞 超过200万个WordPress网站受到威胁-威武网安

这个插件分为免费版和专业版,已有超过两百万个活跃的安装。这个问题于2023年5月2日被发现并报告给了维护人员。

这个漏洞允许任何未经身份验证的用户窃取敏感信息,或者在本例中通过欺骗特权用户访问经过精心构造的URL路径来在WordPress站点上升级权限。

反射型XSS攻击通常发生在受害者被诱使点击通过电子邮件或其他途径发送的虚假链接时,导致恶意代码被发送到易受攻击的网站,然后反射攻击回到用户的浏览器。

这种社交工程的元素意味着反射型XSS攻击没有存储型XSS攻击那样广泛的影响和规模,促使威胁行为者将恶意链接分发给尽可能多的受害者。

[反射型XSS攻击]通常是由于传入的请求未被充分地过滤而导致的,这允许对Web应用程序的功能进行操作并激活恶意脚本

警惕WordPress插件新漏洞 超过200万个WordPress网站受到威胁-威武网安

CVE-2023-30777可以在Advanced Custom Fields的默认安装或配置中激活,尽管只有具有插件访问权限的登录用户才能这样做。

Craft CMS修补了两个中等严重性的XSS漏洞(CVE-2023-30177和CVE-2023-31144),这些漏洞可以被威胁行为者利用来提供恶意负载。

这也跟随了在cPanel产品中披露的另一个XSS漏洞(CVE-2023-29489,CVSS评分:6.1),该漏洞可以在没有任何身份验证的情况下被利用来运行任意JavaScript。

攻击者不仅可以攻击cPanel的管理端口,还可以攻击端口80和443上运行的应用程序,这可能会使对手劫持有效用户的cPanel会话,一旦代表cPanel的经过身份验证的用户行动,通常很容易上传Web shell并获得命令执行。

赞(0) 打赏
版权声明:本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
文章名称:《警惕WordPress插件新漏洞 超过200万个WordPress网站受到威胁》
文章链接:https://www.wevul.com/770.html
本站所有内容均来自互联网,只限个人技术研究,禁止商业用途,请下载后24小时内删除。

评论 抢沙发

如果文章对你有帮助 可以打赏一下文章作者

非常感谢你的打赏,我们将继续提供更多优质内容,让我们一起创建更加美好的网络世界!

支付宝扫一扫打赏

微信扫一扫打赏

登录

找回密码

注册