不满支持论坛，安全人员连续公布三个 WordPress 插件漏洞
被曝含 0day 漏洞的插件是 Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer，目前这两个插件已下架，开发人员建议用户尽快将涉及插件移除。
近日，有安全研究人员连续在 Plugin Vulnerabilities 平台上，对外公布了 3 个 WordPress 外挂程式的 0day 漏洞，将 10 万个 WordPress 网站于陷于安全风险中。相关研究人员在公布这些漏洞时，提到他们只是为了 *** WordPress 支持论坛版（WordPress Support Forum）的版主行为。只要版主停止不当行为，他们会立即终止对外揭露 0day 漏洞。
被揭露漏洞的 3 个 WordPress 插件分别是 Social Warfare、Yuzo Related Posts 和 Yellow Pencil Visual Theme Customizer。其中，Warfare 是个社交网站分享插件，有超过 6 万个 WordPress 网站安装了该插件。研究人员在 3 周前公布了 Social Warfare 的安全漏洞，插件开发人员即时将它修补了。
另外两个插件就没这么幸运了。可用来自动找出相关文章的 Yuzo Related Posts 原本拥有 6 万个安装数量，可自定义主题的 Yellow Pencil Visual Theme Customizer 则有 3 万个安装数量，这两个插件都都惹来了攻击，目前已在 WordPress 插件商店下架，插件开发人员还建议用户应尽快将所安装的版本移除。
据了解，原本安全人员在公开漏洞前，会给开发者一定的缓冲时间。而这次漏洞曝光，研究人员故意不遵循责任揭露，直接对外公开这些 WordPress 插件漏洞。他们声称目的是为了 *** WordPress 支持论坛版主的不当行为。这些版主明知有些热门插件含有漏洞，却未通知相关的开发人员。版主们甚至会联手隐瞒插件的安全问题，为了推广特定安全服务而阻拦用户得到其它帮助。
这次漏洞接连曝光事件，看起来很像是 Plugin Vulnerabilities 平台与 WordPress 支持论坛之间的恩怨而引发的。前者不仅是为 WordPress 打造，定位更是专门对抗 WordPress 插件漏洞的服务。但不论如何，原本应该是维护 WordPress 安全的事件，目前却已危及到了众多 WordPress 网站的安全。
（稿源：开源中国，封面源自 *** 。）
“不满支持论坛，安全人员连续公布三个 WordPress 插件漏洞” 的相关文章
Windows Security 获新功能：可阻止安装恶意驱动程序
Windows 10/11 系统中的 Windows 安全中心现在变得更令人安心了。正如微软操作系统安全和企业副总裁 David Weston 所宣布的那样，内置的免费 Windows 杀毒软件现在提供了一个新的选项，可以防止脆弱的驱动程序。只不过目前还没有在 Windows 11 系统中看到这个选...
微软 Windows 受到 Hafnium 恶意软件 “Tarrask” 的集团化攻击
对微软Exchange服务器造成严重破坏的臭名昭著的Hafnium黑客组织回来了。但这一次，微软清楚地知道这个国家支持的威胁行为者团体的活动意图，该组织正在利用”Tarrask”恶意软件来瞄准并不断削弱Windows操作系统的防御能力。 微软检测和响应小组（DART）在一篇博文中解释说，Hafni...
透明部落黑客针对印度官员发动新一轮黑客攻击
Hackernews 编译，转载请注明出处： 从2021年6月，一个可能来自巴基斯坦的攻击者与一个针对感兴趣目标的后门攻击有关，该攻击使用了一种基于 windows 的远程访问木马，名为 CrimsonRAT。 Cisco Talos公司的研究人员在与The Hacker New...
CISA 发布 AA22-103A 新警报：警惕针对 ICS/SCADA 设备的 APT 网络攻击
本周三，包括美国能源部（DOE）、网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在内的多个机构，向关键基础设施运营商发出了严重的潜在攻击警报。近年来，某些持续威胁（APT）参与者创建了许多定制工具，并在针对工业控制系统（ICS）、监控和数据采集设备（SCADA）等关键基础设施的攻击事件中...
研究人员发现三个联想电脑的 UEFI 漏洞 影响规模可达数百万台
根据The Hacker News的报道，有三个高影响的统一可扩展固件接口（UEFI）安全漏洞被公布，即CVE-2021-3970、CVE-2021-3971和CVE-2021-3972，已被发现它们会影响联想的各种设备，如联想Flex、IdeaPads和Yoga笔记本电脑。 最初，CVE-202...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
评论列表
发表评论
