WordPress “高级自定义字段”插件漏洞 200万网站面临网络攻击的风险

5月9日,据theregister报道,超过200万的wordpress网站使用高级自定义字段(Advanced Custom Fields)和高级自定义字段专业版(Advanced Custom Fields Pro),这些插件用于网站运营商更好地控制内容和数据。然而,由于插件中的一个漏洞,这些网站面临着网络攻击的风险。

WordPress “高级自定义字段”插件漏洞 200万网站面临网络攻击的风险插图

该漏洞由Patchstack研究员Rafie Muhammad于2月5日发现并报告给插件供应商Delicious Brains。该公司于一个月后发布了插件补丁版本。

根据Patchstack发布的漏洞详细信息,这个漏洞被追踪为CVE-2023-30777CVSS,严重性评分为6.1(满分10),使网站容易受到反射XSS攻击,进而允许恶意代码注入网页并在访问者的浏览器中执行。如果访问者是登录的管理用户,那么他们的帐户可能会被劫持,导致网站被不法分子操控。

该机构补充道,“这个漏洞可能会在高级自定义字段插件的默认安装或配置中触发。XSS也只能由有权访问高级自定义字段插件的登录用户触发。”建议用户至少将插件更新到6.1.6版本以避免风险。

声明:本站所有文章,如无特殊说明或标注,均为本站原创发布。任何个人或组织,在未征得本站同意时,禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益,可联系我们进行处理。
搜索