近期，WordPress平臺上備受歡迎的插件‘Really Simple Security’（原名‘Really Simple SSL’）曝出了一個重大安全隱患，即身份驗證繞過漏洞，該漏洞波及全球數(shù)以百萬計的網(wǎng)站，使其面臨嚴重的安全風(fēng)險，攻擊者可借此完全控制受影響的站點。

WordPress是一個功能強大、易于使用且高度可擴展的開源內(nèi)容管理系統(tǒng)（CMS），它最初以博客平臺身份面世，現(xiàn)已廣泛應(yīng)用于各類網(wǎng)站的創(chuàng)建與管理，從個人博客到企業(yè)官網(wǎng)，再到電子商務(wù)平臺，都能通過豐富的插件和主題實現(xiàn)定制化需求。

該漏洞正式編號為CVE-2024-10924，由Wordfence安全團隊的研究員István Márton在2024年11月6日首次發(fā)現(xiàn)。問題的根源在于插件在用戶身份驗證流程中的處理不當(dāng)，特別是在處理兩因素認證（2FA）的REST API接口時。具體來說，漏洞出現(xiàn)在名為‘check_login_and_get_user()’的函數(shù)中，該函數(shù)未能正確驗證‘login_nonce’參數(shù)的有效性。當(dāng)‘login_nonce’失效時，系統(tǒng)非但沒有拒絕訪問請求，反而錯誤地執(zhí)行了‘a(chǎn)uthenticate_and_redirect()’函數(shù)，僅憑‘user_id’就進行了身份驗證，從而繞過了正常的安全驗證機制。

這一漏洞的嚴重性不容忽視，因為它使得攻擊者即使在啟用了兩因素認證的情況下，也能輕松利用這一缺陷發(fā)起大規(guī)模的攻擊。Wordfence團隊發(fā)出警告，指出攻擊者可以編寫自動化腳本，批量利用此漏洞，進而可能導(dǎo)致大量網(wǎng)站被非法接管。幸運的是，插件的開發(fā)者迅速響應(yīng)，在2024年11月12日和14日分別為Pro版和免費版發(fā)布了更新補丁，修復(fù)了‘login_nonce’驗證失敗時的處理邏輯。

盡管開發(fā)者與WordPress.org合作，實施了強制性的安全更新，但網(wǎng)站管理員仍需主動檢查并確保他們的插件已升級至最新版本（9.1.2）。然而，根據(jù)統(tǒng)計，盡管免費版插件的下載量已達到約450,000次，但仍有約350萬個網(wǎng)站可能仍受此漏洞威脅，因此，這些網(wǎng)站的管理員迫切需要采取行動，以保護其網(wǎng)站免受潛在的安全風(fēng)險。

及時掌握網(wǎng)絡(luò)安全態(tài)勢 盡在傻蛋網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)

【網(wǎng)絡(luò)安全監(jiān)管部門】免費試用

本文來源:互聯(lián)網(wǎng)

如涉及侵權(quán)，請及時與我們聯(lián)系，我們會在第一時間刪除或處理侵權(quán)內(nèi)容。
電話：400-869-9193 負責(zé)人：張明