这个拥有500万用户的WordPress插件可能存在严重的安全漏洞

Patchstack的网络安全研究人员最近在WordPress的一个流行扩展中发现了一个高严重性缺陷，该缺陷允许威胁行为者从易受攻击的网站中窃取敏感信息。

该漏洞被跟踪为CVE-2023-40004，并被描述为允许未经身份验证的用户访问和调整令牌配置。该缺陷是在名为All-in-OneWPMigration的扩展中发现的，该扩展拥有500万个活跃安装。

这是一个附加组件，允许非技术性WP管理员快速、无缝地将其WP数据从一个地方迁移到另一个地方。话虽如此，该缺陷可能会被滥用，将网站迁移数据重定向到威胁行为者自己的服务器，或恢复恶意备份。

该漏洞于今年7月中旬被发现，随后被报告给该插件的创建者ServMask。该公司大约一周后发布了更新，通过对init函数的许可和随机数验证来解决该问题。

根据BleepingComputer的说法，一线希望是该扩展仅在迁移期间使用，在任何其他时间都不应该处于活动状态(因此不会构成威胁)。

坏消息是，研究人员在同一制造商的其他一些扩展程序中发现了同样的易受攻击的代码，包括Box扩展程序、GoogleDrive扩展程序、OneDrive扩展程序和Dropbox扩展程序。

为了保护他们的网站，建议WP管理员确保他们的扩展程序升级到以下版本：

Box扩展：v1.54

GoogleDrive扩展：v2.80

OneDrive扩展：v1.67

Dropbox扩展：v3.76

All-in-OneWPMigration应升级至v7.78。

WordPress是迄今为止世界上最受欢迎的内容管理系统(CMS)，大约有一半的互联网网站由该产品提供支持。因此，它是网络犯罪分子的热门目标。

虽然WordPress本身通常被认为是安全的，但附加组件(主要是免费的)通常是网络安全链中最薄弱的环节。