超过 30,000 家在线商店使用的 WordPress 电子商务插件中发现严重漏洞

据报道，安装在超过 30,000 个网站上的 WordPress“Abandoned Cart Lite for WooCommerce”插件存在严重安全漏洞。根据 Defiant 的 Wordfence 的报告，该漏洞允许攻击者访问已放弃购物车的用户的帐户。该漏洞的严重性（编号为 CVE-2023-2986）在 CVSS 评分系统中被评为 9.8 分（满分 10 分）。它影响该插件的所有版本，包括版本 5.14.2 及更早版本。

该问题源于由于加密保护不足而导致的身份验证绕过。当客户收到有关电子商务网站上废弃的购物车的通知时，所使用的加密密钥会硬编码在插件中。这使得恶意行为者能够以废弃购物车的用户身份登录。安全研究员 István Márton 提到，有可能利用身份验证绕过漏洞来获取对管理或更高级别用户帐户的访问权限。

6月初修复漏洞

插件开发商Tyche Softwares于2023年6月6日通过版本5.15.0修复了该漏洞，当前版本为5.15.2。该漏洞的披露恰逢 Wordfence 披露了 StylemixThemes 的“Booking Calendar | Appointment Booking | BookIt”插件中的另一个身份验证绕过漏洞。该漏洞编号为 CVE-2023-2834，CVSS 评分为 9.8，影响了超过 10,000 个 WordPress 安装。这是因为预订过程中验证不足，未经身份验证的攻击者可以以任何现有用户的身份登录（如果他们有权访问用户的电子邮件）。该问题已在 2023 年 6 月 13 日发布的 2.3.8 版本中得到解决，而 2.3.7 及更早版本会受到影响。

为什么 WordPress 插件经常成为黑客攻击的目标？

WordPress 插件经常成为黑客攻击的目标，原因如下：

流行度和广泛使用： WordPress 是全球最受欢迎的内容管理系统 (CMS) 之一，为互联网上很大一部分网站提供支持。 WordPress 的广泛使用使其成为黑客的有吸引力的目标。由于插件增强了 WordPress 网站的功能，因此被网站所有者广泛采用。攻击者知道，针对流行插件可能会危害大量网站。

漏洞和安全问题：与任何软件一样，WordPress 插件也可能存在漏洞和安全弱点。黑客可以利用这些漏洞来获得未经授权的访问、注入恶意代码或执行其他恶意活动。插件可能存在编码错误、验证检查不足或安全措施不足，从而容易受到攻击。

缺乏更新和维护：一些网站所有者可能会忽略保持 WordPress 插件最新或无法正确维护它们。过时的插件可能存在黑客可以利用的已知漏洞。此外，开发人员不再维护或支持的插件可能无法及时收到安全补丁，从而容易受到攻击。

第三方插件开发人员： WordPress 插件通常由第三方开发人员开发，他们可能具有不同级别的安全专业知识。虽然许多开发人员优先考虑安全性，但其他开发人员可能没有必要的知识或资源来实施强大的安全措施。黑客瞄准由安全意识较差的开发人员开发的插件，以利用其代码中的弱点。

后门入口：插件可以作为攻击者访问 WordPress 网站的后门入口点。通过破坏插件，黑客可以绕过安全措施并获得对整个网站的控制权。一旦进入，他们就可以操纵内容、窃取敏感信息或执行其他恶意活动。

为了降低与 WordPress 插件相关的风险，网站所有者遵循最佳实践至关重要，例如：