UpdraftPlus 1.22.3 通过 WordPress.org 的强制安全更新修补严重漏洞

上升气流,一个允许用户备份到各种云提供商的插件,已经修补了一个严重的安全漏洞,允许登录用户下载站点的最新备份。 修补版本 (1.22.3) 是通过强制自动更新发出的,这是为影响大量用户的严重漏洞保留的措施。 UpdraftPlus 在超过 300 万个 WordPress 网站上活跃。

该漏洞是 发现 Jetpack Scan Security 研究员 Marc Montpas 在内部审计期间。 UpdraftPlus 向用户解释了该漏洞 咨询 更新结束后:

此缺陷允许任何在 UpdraftPlus 处于活动状态的 WordPress 安装上登录的用户行使下载现有备份的权限,该权限本应仅限于管理用户。 这是可能的,因为与检查当前备份状态相关的代码缺少权限检查。 这允许获得一个内部标识符,该标识符在其他情况下是未知的,然后可用于在允许下载时通过检查。

该问题影响插件的付费和免费版本。 在收到报告后一小时内,向付费客户推送了修复程序。 1.16.7 和 1.22.3 之间的每个版本的免费插件都是易受攻击的。 UpdraftPlus 声称大多数网站都已更新。 WordPress.org 统计数据显示,大约 35% 的 Updraft 用户尚未更新到最新版本,这使得超过一百万的安装仍然容易受到攻击。

updraftplus-1-22-3-patches-severe-vulnerability-through-forced-security-update-from-wordpress-org UpdraftPlus 1.22.3 通过来自 WordPress.org 的强制安全更新修补严重漏洞

到目前为止,还没有确认的漏洞利用报告。 有关漏洞的更多详细信息,请查看 Montpas 的 报告 在 Jetpack 网站上。 鼓励 UpdraftPlus 用户检查他们的网站,以确保插件在最新的修补版本上运行。

资源

Total
0
Shares
相关文章