元素插件及其终极扩展出现Bug可能会给一百万网站带来风险

WordPress元素插件Elementor是一款可视化编辑器,支持前端编辑,提供了许多元素,用户无需代码经验即可完成网站编辑工作,结合其终极扩展Ultimate Addons for Elementor,无需专业的网站设计师都可以做出专业水准的网站。正因如此,今年早些时候Elementor获得首轮1500万美元融资。

目前Elementor用户已超过400万用户,但是日前元素插件及其终极扩展出现Bug,这可能会给一百万网站带来风险。

两个WordPress插件Elementor和Ultimate Addons for Elementor出现Bug

Wordfence的研究人员在两个单独但相关的WordPress插件中发现了安全漏洞。如观察到的,同时利用两个插件中的错误可能会导致巨大的网络攻击。 研究人员在博客文章中详细说明了这些问题,并强调指出Elementor Pro插件中存在严重的严重漏洞。利用该漏洞可以进行远程代码执行攻击,因为任何注册用户都可以上传任意文件。正如研究人员所解释的:

能够远程执行您站点上代码的攻击者可以安装后门或Webshel​​l来维护访问权限,获得对WordPress的完全管理访问权,甚至完全删除您的站点。

这是一个Zero-day(零日漏洞,即安全补丁与瑕疵曝光的同一日内,相关的恶意程序就出现,并对漏洞进行攻击)漏洞,如不引起重视,该漏洞具有极大的破坏性。

黑客可以通过注册登录直接在网站上利用该漏洞。即使在关闭用户注册选项,黑客还可以通过Ultimate Addons for Elementor绕开注册进行攻击。

补丁推出

Wordfence已经评估了对该漏洞的影响情况,估计约一百万网站受到影响。他们甚至检查了一些受感染的网站,以确认威胁。如他们的帖子所述, 由于这是主动攻击,因此我们应该引起重视,以便您可以采取步骤保护您的网站。目前插件开发者已经修复了此bug。因此,用户应确保将其网站上的插件更新为Elementor Pro 2.9.4版以及Elementor 1.24.2或更高版本的Ultimate Addons。 此外,研究人员还建议采取以下措施,以确保网站不受损害。

-检查您网站上是否有未知的订阅级别用户。

–检查名为“ wp-xmlrpc.php”的文件。

–删除在/ wp-content / uploads / elementor / custom-icons /目录中找到的所有未知文件或文件夹。

微信扫一扫,关注微信公众号,获取最新资讯

1条评论

  • 评论者 缙哥哥 - 回复

    学习了!

留下回复

您的电邮不会被公布 必填字段标记为*