WordPress的Total Donations插件存在漏洞,可让攻击者

Total donor是一个易于使用但功能强大的WordPress插件,用于接受在线捐款。捐赠者可以使用一种直观的捐赠表格快速地为您的非营利组织、教会或政治组织捐款,而管理面板允许您轻松地管理您的任务、进度条和活动。

根据研究员Mikey Veenstra的说法,该插件的代码包含几个设计缺陷,它们将插件和WordPress网站暴露给一个不安全的环境。在周五发布的安全警报中,Veenstra表示该插件包含一个Ajax代码,任何未经身份验证的远程攻击者都可以使用该代码来操纵插件。

WordPress的Total Donations插件存在漏洞,可让攻击者

Ajax代码存储在插件的文件中,这意味着禁用插件并不能消除威胁,因为攻击者只需要直接调用文件,因此只删除整个插件可以保护站点免受攻击。此Ajax代码允许攻击者更改任何WordPress站点的核心设置的值,更改与插件相关的设置,修改通过插件接收的捐赠的目标帐户,甚至检索MailChimp邮件列表。

“Total Donations”的开发者已停止开发该插件,CodeCanyon中所有公司的插件现已停止下载。作为商业产品,该插件没有庞大的用户群。但该插件最有可能安装在具有庞大用户群的WordPress网站上,这是黑客的主要目标。

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/913deb1f0947843a2380bfef3470fc7f.html