最新發布的WordPress插件漏洞已影響300萬個站點
作者：咪貝2019
Automattic（軟件服務公司）的安全研究員 Marc-Alexandre Montpas 在2月14日發現并報告了該漏洞，該漏洞的標識符為CVE-2022-0633（CVSS 評分：8.5）。
近日，已發布的補丁包含 UpdraftPlus 中的“嚴重”安全漏洞，這是一個安裝量超過300 萬的 WordPress 插件，可以武器化以使用易受攻擊站點上的帳戶下載站點的私人數據。
“從2019年3月起，UpdraftPlus的所有版本都包含一個由缺少權限級別檢查導致的漏洞，允許不受信任的用戶訪問備份。”該插件的維護者在本周發布的一份公告中表示。
Automattic(軟件服務公司)的安全研究員 Marc-Alexandre Montpas 在2月14日發現并報告了該漏洞，該漏洞的標識符為CVE-2022-0633(CVSS 評分：8.5)。該問題影響從1.16.7 到 1.22.2的UpdraftPlus版本。
UpdraftPlus是一種備份和恢復解決方案，能夠對WordPress 文件、數據庫、插件和主題執行完整、手動或計劃的備份，然后可以通過 WordPress管理儀表板恢復這些備份。此缺陷的一個后果是，它允許安裝了UpdraftPlus的WordPress安裝上的任何登錄用戶行使下載現有備份的權限 - 權限應該只保留給管理用戶。
WordPress 安全公司 Wordfence表示，除了泄露密碼和其他機密數據外，“在某些情況下，如果攻擊者能夠從配置文件中獲取數據庫憑據并成功訪問站點數據庫，它還可能接管站點。”
建議UpdraftPlus 插件的用戶更新到版本 1.22.3(或高級版的 2.22.3)以減少任何潛在的利用。截至 2 月 17 日可用的最新版本是 1.22.4，它解決了與在 PHP 8 上打印自動備份選項相關的錯誤。
責任編輯：趙寧寧
來源：
新浪科技
