使用技巧

Loginizer插件针对影响100万用户的漏洞获取强制性安全更新

Loginizer插件为影响100万用户的漏洞获取了强制的安全更新。Loginizer插件为影响100万用户的漏洞获取了强制的安全更新。

WordPress.org推出了强制更新 登录程序 插件,活跃在超过一百万个网站上。 该插件在其免费版本中提供了暴力保护,并在其商业升级中提供了其他安全功能,例如两因素身份验证,reCAPTCHA和PasswordLess登录。

上周安全研究员Slavco Mihajloski 发现 他向插件作者披露了一个未经身份验证的SQL注入漏洞和一个XSS漏洞。 Loginizer版本1.6.4于2020年10月16日发布,其中包含针对两个问题的补丁,总结在插件的博客上:

1) [Security Fix] :用于登录的精心设计的用户名可能导致SQL注入。 此问题已通过使用PHP中的prepare函数修复了,该函数准备SQL查询以安全执行。

2) [Security Fix] :如果将IP HTTP标头修改为具有空字节,则可能导致存储XSS。 在使用IP HTTP标头之前,请先对其进行适当的清理以解决此问题。

为了让用户有时间升级,Loginizer直到今天才披露此漏洞。 考虑到该漏洞的严重性,WordPress.org的插件团队将安全更新发布到了在WordPress 3.7+上运行Loginizer的所有站点。

2020年7月,Loginizer 被Softaculous收购,因此该公司还能够通过使用Softaculous创建的Loginizer自动升级任何WordPress安装。 这项工作与WordPress.org的更新相结合,涵盖了Loginizer的很大一部分用户群。

自动更新使某些插件用户感到惊讶,因为他们自己没有启动该插件,也未激活插件的自动更新。 经过几个用户 已发布 在插件的支持论坛上,插件团队成员Samuel Wood说:“ WordPress.org能够针对插件中的安全性问题启用自动更新”,并且已经多次使用了此功能。

米哈伊洛斯基(Mihajloski) 已发表 今天早些时候在他的博客上有更详细的概念验证。 他还着重指出了有关WordPress已有系统的一些问题,这些系统使这种严重的漏洞无法通过。 他声称,由于插件未使用prepare函数来安全执行SQL查询,因此插件审查小组可以轻松解决此问题。 Mihajloski还建议对官方目录中的插件进行定期代码审核。

“当插件进入存储库时,必须对其进行审核,但是何时再次对其进行审核?” Mihajloski说。 “每个人都从0次主动安装开始,但是1k,10k,50k,100k,500k,100万以上主动安装会发生什么?”

Mihajloski感到困惑的是,这么大的安全性问题如何在插件的代码中保留这么长时间,因为它是一个安全插件,其有效安装数量比许多知名CMS都要多。 该插件最近被Softaculus收购并经过多家安全组织(包括 WPSec杜威斯特安全

Mihajloski还建议WordPress提高周围的透明度 安全,因为某些网站所有者和封闭社区可能不愿意由WordPress.org上的陌生人管理其资产。

“ WordPress.org通常是透明的,但是没有关于谁,如何以及何时决定和执行自动更新的声明或文档,” Mihajloski说。 “这是一种 [like] 把所有的鸡蛋都放在一个篮子里。

“我认为这些是WP.org应该重点关注的关键点,并且一切都将在短时间内实现:有关安全警告的完整WordPress技术文档,有关漏洞的披露指南(来自研究人员,也来自供应商)方面),以及对流行插件的重复代码审核。”

像这样:

喜欢加载中……

资源