1.wordpress站点遇到致命错误

最近在流行的WordPress 插件中发现的一个错误可能会使数千个网站面临针对毫无戒心的访问者运行恶意 Web 脚本的风险该漏洞由Wordfence 威胁情报团队发现，位于“WordPress 电子邮件模板设计器 - WP HTML 邮件”中，该插件可简化为在 WordPress网站构建器上运行的网站设计自定义电子邮件的过程。

2.wordpress官网 被攻击

大约 20,000 个网站已启动并运行该插件 WordPress的担忧对电子邮件收件人的网络钓鱼攻击的任意数据研究人员联系了该插件的开发人员，并于 1 月 13 日发布了一个补丁Wordfence 威胁情报团队敦促所有运行电子邮件模板设计器插件的WordPress管。

3.wordpress入侵

理员立即将其更新到 3.1 版研究人员进一步详细说明了该漏洞，称该插件注册了两个 REST-API 路由，用于检索和更新电子邮件模板设置由于这些“实施不安全”，未经身份验证的用户可以访问这些端点注入后门

4.Wordpress错误

“插件注册 /themesettings 端点，该端点根据请求方法调用 saveThemeSettings 函数或 getThemeSettings 函数REST-API 端点确实使用了 permission_callback 函数，但是，它被设置为 __return_true，这意味着执行这些函数不需要身份验证。

5.wordpress插件漏洞

因此，任何用户都有权执行 REST-API 端点来保存电子邮件的主题设置或检索电子邮件的主题设置，”研究人员解释说研究人员进一步表示，该功能允许对电子邮件模板进行设置更改，这意味着恶意行为者可以“轻松”将其转换为网络钓鱼工具。

6.WordPress › 错误

他们甚至可以将恶意 JavaScript 添加到模板中“与往常一样，跨站点脚本漏洞可用于注入可以添加新管理用户的代码，将受害者重定向到恶意站点，将后门注入主题和插件文件等等，”他们总结道 所有这一切都意味着恶意攻击者“很有可能”在运行未打补丁的。

7.wordpress一直尝试登录

插件版本的网站上获得管理员用户访问权限。举报/反馈