Miljontals WordPress-webbplatser utsätts för attacker efter upptäckten av ett säkerhetshål i ett populärt plugin. Forskare vid säkerhetsföretaget Defiant har varnat för att filhanterarens plugin som används av hundratusentals WordPress-sajter har en nolldagarssårbarhet som gör att hackare kan starta attacker mot användare. Felet kan tillåta angripare att ladda upp skadliga filer till WordPress-webbplatser som inte har uppdaterats till den senaste versionen av filhanteraren.
WordPress dag noll
Defiant noterade i ett blogginlägg att filhanterarens plugin är installerad på mer än 700,000 37.4 WordPress-webbplatser, och företaget uppskattar att mer än en tredjedel (261,800 %, eller cirka 1,7 11 webbplatser) fortfarande har sårbara versioner av denna plugin installerade. . Företaget, som driver Wordfence webbbrandväggstjänst, säger att det har registrerat attacker mot 100.000 miljoner webbplatser sedan sårbarheten först utnyttjades, med 6.0 webbplatser som attackerades mer än 6.8 6.9 gånger. Filhanterarens utvecklare har skapat och släppt en patch för sårbarheten, och användare uppmanas att uppdatera sin programvara så snart som möjligt. Med tanke på den räckvidd som filhanteraren tillåter en användare i wp-admin-instrumentpanelen, kan plugin-programmet erbjuda angripare tillgång till alla aspekter av berörda WordPress-webbplatser. Annars kan angripare utnyttja felet för att ladda ner en bildfil som innehåller ett dolt webbskal. Väl på offrets server kunde angripare komma åt webbskalet för att ta kontroll över offrets webbplats. Säkerhetssårbarheten finns i filhanterarversionerna 80.000 till 7.0.0, så WordPress-webbplatsägare bör uppdatera plugin-programmet till version XNUMX omedelbart för att förhindra eventuella attacker som utnyttjar den nu åtgärdade sårbarheten. Nyheten kommer månader efter att Wordfence identifierade en liknande kritisk sårbarhet i ett WordPress-plugin installerat på mer än XNUMX XNUMX webbplatser. WordPress-plugin-sårbarheten dök först upp med wpDiscuz version XNUMX, som introducerade en funktion som låter användare bifoga bilder till kommentarer. Även om funktionen designades för att endast tillåta bilduppladdning, kan filtypsverifieringsprocessen enkelt kringgås, vilket gör att hackare kan ladda upp valfri fil och så frön till bilden. kontokontroll. Via ZDNet