两个流行的WordPress插件缺陷致使数百万网站面临风险

【51CTO.com原创稿件】WordPress是使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站，也可以把WordPress当作一个内容管理系统(CMS)来使用。WordPress因其易用性，广受开发人员的喜爱。在WordPress世界中有各种各样的主题和插件，开发人员可以利用他们轻松地构建网站。

相信很多人一开始就被WordPress所吸引，可能是因为其强大的插件系统。尽管WordPress本身存在许多功能缺陷，但它可以通过插件弥补这些缺陷。然而，插件也会存在漏洞，带来安全风险。

近日，据某外媒报道，Elementor Pro与Ultimate AddonsforElementor这两个流行的WordPress插件缺陷，正致使数百万网站面临风险。其中，ElementorPro插件是一个网站构建器，允许用户使用拖放构建器添加模块并自定义其网站。其深受用户欢迎，目前有超过一百万的活跃用户。

有关研究发现，该ElementorPro插件存在漏洞易受到黑客攻击，攻击者可以利用该漏洞远程上传任意文件，从而执行未经授权的代码，这将带来严重危害。例如，考虑可以以这种方式安装后门和WebShell，这两者都可以使攻击者为其自身访问站点的关键部分(例如文件系统)创建重复进行远程访问的途径，执行站点数据删除操作。值得注意的是，攻击者必须是有问题的WordPress网站的注册用户，此攻击才能起作用。

但是，如果由于某些原因无法满足此先决条件，则有另一个名为Ultimate Addons forElementor的插件，UltimateAddons是一个独特的Elementor小工具库，可为页面生成器增加更多的功能和灵活性。

据悉，该插件的1.24.1及以下版本中存在漏洞，允许某人无需任何管理员批准的用户注册即可攻击主要ElementorPro插件。也就是说，WordPress具有不同的用户角色，其中之一包括订户。在这种情况下，要注册为订户，无需获得站点管理员的批准，允许攻击者自己这样做，从而利用存在的漏洞。

与所有内容一样，请放心，这些内容也都已提供修复程序。根据WP行业安全插件WordFence发布的准则指出，ElementorPro于5月7日发布补丁，对ElementorPro的最新版本进行更新将有助于保护您的网站。

Wordfence发送了一条针对该问题的推文：

更新：@elemntor已发布Pro版本2.9.4，并且我们的威胁情报团队已验证它可以修复已验证的文件上传漏洞。请确保将ElementorPro插件更新为2.9.4。对Elementor表示感谢，以获取快速修复。https://t.co/Ahcn3AtUK1

——Wordfence(@wordfence)2020年5月7日

在此，专家建议您还可以采取以下预防措施：

◆主动删除未经您的许可可能已在您的网站上注册的所有订户级用户，因为这可能表示妥协(IOC)。

◆请注意一个名为“wp-xmlrpc.php”的文件，因为这也可能是一个IOC，应将其删除。

◆检查文件管理器中的/wp-content/uploads/elementor/custom-icons/目录文件夹，以确保在此处未找到攻击者可能已上传进行攻击的未授权或未知文件。

总而言之，在站点上安装安全插件也很重要，WordFence或Sucuri都可以工作，它们可以主动扫描您的站点是否存在任何恶意软件威胁，同时通过实施措施(例如限制直接上传任何基于PHP的文件。

此外，您还应该手动或通过插件对站点进行定期备份，以确保在发现数据被删除的情况下始终可以恢复站点。

【51CTO原创稿件，合作站点转载请注明原文作者和出处为51CTO.com】

鸿蒙官方战略合作共建——HarmonyOS技术社区