警告！ WordPress 插件漏洞威胁数百万页面

又到了每月的那个时候，又一个 WordPress 插件漏洞弹出，几乎就像发条一样。这一次，该漏洞涉及名为 UpdraftPlus 的插件，该插件安装在大约 300 万个运行发布平台的网站中。

对备份的特权访问

这个问题是由安全研究员 Marc Montpas 发现的，后来由 Wordfence（一个专门研究 WordPress 安全的团队）在一篇详细的帖子中进行了检查。 UpdraftPlus 中的漏洞被编入 CVE 2022-0633 句柄下，严重等级为 8.5 或高。

该漏洞允许运行 UpdraftPlus 的任何 WordPress 网站上的任何活动且成功登录的用户下载现有的网站备份——这只有在提升权限（例如管理员拥有的权限）下才有可能。

仅获取整个备份数据的能力可能会导致各种问题，从凭证盗窃到访问敏感和特权信息。

Wordfence 解释说，如果潜在的不良行为者向网站发送专门定制的心跳，他们将可以访问“包含备份随机数和时间戳的备份日志”。所有这三个都可以用来批量下载网站的备份。

流行的插件提供大的攻击面

该漏洞并不像看起来那么可怕，因为如果此操作是由外部不良行为者执行的，黑客仍然需要定期访问该站点的 WordPress 平台实例。但是，拥有一组受损的登录凭据就足够了。研究人员认为，UpdraftPlus 非常受欢迎并且安装在大约 300 万个网站上这一事实抵消了这一点。

仅在 2022 年 1 月，就在 WordPress 插件中发现了几个严重程度较高的错误，其中一个严重程度为 10。插件缺陷的问题是，许多受影响的插件被广泛采用，类似于 UpdraftPlus，这会导致潜在威胁参与者可以访问的非常大的潜在攻击面。