WordPress

本文将介绍研究人员今年五月份在wordpress上发现的一个具有蠕虫特性的存储XSS漏洞的过程。
WordPress在创建博客文章的过程中存在逻辑缺陷,允许攻击者具有与管理员相同的权限。该漏洞导致WordPress核心产生存储型XSS和对象注入等严重漏洞,并且可能导致WordPress最受欢迎的插件Contact Form 7和Jetpack中出现更为严重的漏洞。
由于WordPress处理权限的方式存在缺陷,可能会导致WordPress插件中出现权限提升的问题。这一问题直接影响WooCommerce插件。
近日RIPS团队公开了一个Wordpress的任意文件删除漏洞(需要登录),目前该漏洞仍然未修复(2018年06月27日),该漏洞影响 Wordpress 最新版 4.9.6.本文我们将结合 VulnSpy 的在线 WordPress 环境来演示该漏洞的利用。
一个简单但严重的应用层 DoS 漏洞出现在 WordPress CMS 平台上,可导致任何人拿下多数 WordPress 站点,即使单凭单台机器也能办到,而无需像发动 DDoS 攻击那样攻击大量带宽。
这三个插件中后门的运作方式类似,都是调用一个远程服务器并在受影响站点中插入内容和链接。专家认为后门代码用于在受影响站点上注入隐藏的SEO垃圾(虚假链接),帮助改善其它站点的搜索引擎排名。
又有三个WordPress插件被发现存在后门;趋势科技发布的勒索软件解密器未遵守GPL协议;Opera浏览器开始启用内部保护程序对抗挖矿脚本;Tastylock Cryptomix勒索软件变种出现;iOS内核漏洞利用探耽求究。
近日,WordPress官方库删除了插件Captcha,该插件最初看起来是当前作者使用“WordPress”的商标问题。随后有人发现插件中存在后门。
Catalin Cimpanu发现几起针对WordPress站点的攻击,主要通过加载恶意脚本进行键盘记录,挖矿或者挂载广告。并且有证据表明,这种攻击从4月份活跃至今。360CERT对该事件十分关注。
据统计,全球29%的网站使用的都是WordPress。在这篇文章中,我们将会对2017年影响最为严重的插件漏洞进行分析。除此之外,我们还会跟大家介绍静态代码分析工具如何才能检测到这些漏洞。