8個流行的WordPress插件目前被黑客利用

8個流行的WordPress插件目前被黑客利用

TWSEO觀點:

一份新報告顯示,針對WordPress網站的攻擊數量有所增加,所有這些攻擊都利用了流行插件中的安全漏洞。

上個月,針對WordPress網站的許多攻擊都涉及黑客試圖通過針對最近修補的插件bug劫持網站。

在其他情況下,攻擊者能夠在不同的插件中發現零日漏洞。這是指插件開發人員未知的漏洞,這意味著可能沒有可用的補丁程序。

以下是所有被標識為此最近一連串攻擊的一部分的所有插件的列表。

如果您在網站上使用這些插件中的任何一個,建議您立即對其進行更新,並全年保持警惕。

複製器(超過100萬安裝)

複製器是一個插件,可讓網站所有者導出其網站內容。 1.3.28版中修復了一個錯誤,該漏洞使攻擊者可以導出站點內容,包括數據庫憑據。

ThemeGrill演示導入程序(200,000安裝)

該插件中的一個錯誤,由ThemeGrill出售,帶有一些主題,允許攻擊者擦除網站並佔領管理員帳戶。此錯誤已在1.6.3版中修復。

Profile Builder插件(安裝65,000)

此插件的免費和付費版本​​中的錯誤允許黑客註冊未授權的管理員帳戶。該錯誤已於2月10日修復。

WooCommerce的靈活結帳字段(20,000個安裝)

此插件中的零日漏洞允許攻擊者註入XSS有效負載,然後可能在已登錄管理員的儀表板上觸發。攻擊者使用XSS負載創建惡意管理員帳戶。

攻擊於2月26日開始。此後已發布補丁。

ThemeREX插件

此插件中的零日攻擊利用所有ThemeREX商業主題都附帶,允許攻擊者創建流氓管理員帳戶。

攻擊於2月18日開始。尚未針對此錯誤發布補丁程序,因此建議網站所有者盡快刪除該插件。

異步JavaScript(安裝10萬)
10Web Map Builder for Google Maps(安裝2萬)
Modern Events Calendar Lite(安裝4萬)

發現了三個類似的零日漏洞在這些插件中。每個補丁都可用。

來源: ZDNet