最近修復了流行的WordPress插件，該插件具有超過50萬個活動安裝，以修復可讓黑客完全控制的漏洞。
易WP SMTP漏洞
該漏洞位於調試日誌文件中，該日誌文件是由於插件如何維護文件夾中的一個非常基本的錯誤而暴露的。伺服器上的插件文件夾中包含用戶不希望看到的文件，通常包含空白的index.html文件。該文件的目的是防止某人導航到該文件夾並發現該文件夾中的文件列表。
SEO PowerSuite。提供結果的免費SEO工具。
使用方便。有效。可靠。使用SEO PowerSuite改善您的網站排名。
如果某人可以看到文件列表，則他們可能會訪問這些文件，情況就是這樣。
調試日誌文件所在的文件夾沒有index.html文件。因此，在默認情況下未禁用目錄索引列表的伺服器上，惡意黑客可以訪問該文件。
他們首先要做的是從他們試圖使用廣為人知的方法破解的WordPress網站獲取管理員級別的用戶名。
然後，他們訪問WordPress登錄頁面，並為管理員帳戶發送密碼重置。
最後，他們訪問調試日誌文件並檢索WordPress網站發送的密碼重置鏈接的記錄。一旦他們檢索到該鏈接，便可以輸入它，重置密碼，然後完全訪問WordPress網站。
Changelog中記錄的文件夾問題
Easy WP SMTP Vulnerability插件維護稱為變更日誌的變更日誌，該變更日誌記錄了每次更新中的所有變更。應當讀取變更日誌，以便用戶可以了解更新的變化。
通常，在修補漏洞時，插件開發人員會注意到正在修補漏洞。這為WordPress發布者提供了他們做出明智決定是否更新插件還是等待所需的信息。
通知發布者更新正在插入漏洞的變更日誌允許發布者做出明智的決定來更新插件，以避免被黑客入侵。
該簡易WP SMTP插件的changelog只說他們的文件夾中插入一個index.html文件，以防止任何人瀏覽它。這應該足以警告您這是一個重要的更新，但前提是發布者知道窺視該文件夾很危險。
立即更新插件
強烈建議Easy WP SMTP插件的所有用戶更新到高於1.4.2版的版本。