鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。
資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。
這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。
Patchstack揭露存在於RealHome的漏洞，登記為CVE-2024-32444，這是未經身分驗證的權限提升漏洞，起因是此佈景主題的程式碼在處理使用者輸入的內容時，並未進行授權或是檢查，一旦網站啟用使用者註冊的功能，攻擊者就有機會接管網站，CVSS風險評為9.8。此外，該佈景主題並未檢查使用者是否呼叫特定功能函數inspiry_ajax_register，攻擊者可使用$user_role變數建立管理員角色的帳號。
另一個出現在Easy Real Estate的漏洞是CVE-2024-32445，Patchstack指出該漏洞形成的原因與CVE-2024-32444類似，攻擊者只要知道管理者的電子郵件信箱，就能在無須掌握對應密碼的情況下，登入任何使用者的帳號，CVSS風險評分同樣達到9.8。研究人員指出，這項漏洞發生的原因，在於該外掛程式並未驗證電子郵件信箱發出的POST請求。
熱門新聞
2025-01-20
2025-01-20
2025-01-20
2025-01-20
