Wordpress SEO

WordPress修复了SQL注入紧急更新的错误

CVE-2017-14723漏洞发生在WordPress 4.8.2及更低版本中,因为

$wpdb->prepare()

创建可能导致SQL攻击的“意外且不安全的查询” 。

造成此漏洞的原因是什么?

根据WordPress命令,WordPress内核不会立即处于危险之中,但是新版本将增加额外的保护,以防插件或主题意外引发此漏洞。

Anthony Ferrara于9月20日在HackerOne平台上报告了此问题。WordPress的开发人员已经尝试修复4.8.2版中的此错误,但未提供内核安全性。该更新影响了许多网站的功能,可能危害超过120万行代码。

发布后的第二天,费拉拉(Ferrara)报告了一个错误,但他的要求被忽略了好几个星期。仅在费拉拉(Ferrara)通知WordPress团队他要公开披露问题后,五周后,他们才能够商定公开声明的时间。

WordPress与Ferrara合作发布了一个修复程序,使该问题更容易解决。但是,根据同一位Ferrara的说法,这不足以解决由先前的补丁程序引起的问题。

该问题的可能解决方案

费拉拉指出:

当前的修补程序完全删除了准备机制,该机制返回一个SQL查询字符串。执行其他所有人的操作:返回表达式或查询对象,或直接执行查询。这样,您将无法复制字符串。

应当指出,该解决方案将对WP进行重大更改。

无需一次更改所有内容–您可以与现有API并行开发替代解决方案。这将是有问题的,但有必要。

现有的API不安全。这并不意味着它一直在受到攻击,而是需要紧急进行重新加工。

“危险减少了,”费拉拉补充道。–起初,合作的前景并不令人鼓舞,但多年来却有所改善。如果最近6周让我感到失望,现在我希望最好。