稀有以万计的WordPress网站由于其操纵的一个插件中含相关键的缝隙，进而使得网站面对着被攻打的危险。该插件能够操纵户更便利的在网站上操纵PHP代码。
研讨人员觉察，个中的一个缝隙理睬任何级其它认证用户，乃至是定阅者和客户履行代码，全面接收装置了该插件的网站。
来自WordfenceThreatIntelligence的研讨人员在周二颁发的一篇博文中觉察了PHPEverywhere中的三个关键缝隙，该插件装置在超越3万个WordPress网站上。该插件的影响也恰如其名，它理睬WordPress网站开垦人员将PHP代码放在网站的各类组件中，囊括文章页面、帖子和侧边栏等地位。
Wordfence的RamGall在帖子中写道："这些缝隙特别简单被操纵，并且还能够被用来赶快接收一个网站。”
这三个缝隙主如果由于插件中的默许配置形成的，在Wordfence经过合规的表露程序告诉了开垦人员后，在新版的插件中，这些缝隙曾经获患了修理。
Wordfence团队在1月4日向PHPEverywhere的开垦者发送了电子邮件，并很快获患了解答。他随后于1月10日颁布了一个再建的插件版本，修理了一齐缝隙。Wordfence鞭策一齐操纵该插件的WordPress网站的办理者当即装置新版本的插件。
关键性缝隙研讨人员写道，个中最危险的缝隙是定阅用户能够通太短代码举行长途代码履行，该缝隙与插件的功效相关，并且该缝隙被追踪为CVE--，在CVSS也上获患了9.9的评级。
可怜的是，WordPress理睬任何认证用户经过parse-media-shortcodeAJAX来履行短代码，一些插件也理睬未经认证的短代码履行，是以，任何登录的用户，乃至是险些没有任何权力的用户，比方定阅者，都有大概经过发送一个参数为[php_everywhere]
研讨人员觉察，在WordPress网站上履行随意的PHP代码，时常能够全面接收网站。
别的两个缝隙离别被追踪为CVE--和CVE--。Gall诠释说，这两个缝隙的CVSS评分与短码缝隙类似，但研讨人员觉得其严峻水平稍低。
前者是定阅用户经过metabox举行长途代码履行，该缝隙与PHPEverywhere的一个默许配置相关，该配置理睬一齐具备edit_posts能耐的用户操纵PHPEverywheremetabox。
可怜的是，这象征着不受信托的用户均能够操纵PHPEverywheremetabox，缔造一个帖子，而后在PHPEverywheremetabox中增加PHP代码，预览该帖子，完成网站的随意代码履行。
第三个缝隙，定阅用户经过Gutenberg块举行长途代码履行，与PHPEverywhere的一个默许配置相关，该配置理睬一齐具备edit_posts能耐的用户操纵PHPEverywhereGutenberg块。
研讨人员诠释说："尽管能够将其配置为办理员专用，但由于=2.0.3版本无奈在不由用Gutenberg块编纂器的环境下举行反省，因而默许环境下并没有配置。”
他说，可怜的是，这类配置象征着用户能够在网站上履行随意的PHP代码。法子也不过经过缔造一个帖子，增加PHPeverywhere块并在个中增加代码，而后预览该帖子。
危险和爱护法子关于操纵开源体例办理系统创造网站的开垦者来讲，WordPress插件不断是一个痛点，屡屡会有吓唬到WordPress网站平安的缝隙。
上个月，研讨人员觉察三个WordPress插件存在一样的缝隙，能够让攻打者在网站办理员的职掌下，在有缝隙的网站上革新随意的网站选项，并全面接收它。而在旧年10月，一个名为HashthemesDemoImporter的WordPress插件则理睬定阅者将网站的体例全面扫除。
究竟上，凭借RiskBasedSecurity的研讨人员，可操纵的WordPress插件缝隙数目在年浮现了爆炸性延长，增加了三位数。
就其本身而言，Wordfence曾经向受PHPEverywhere缝隙影响的用户供应了本身的缓和法子。该公司在研讨人员告诉开垦者的统一天，实时向其高档用户供应了修理PHPEverywhere缝隙的防火墙法则。该公司后来将防火墙扩充到其余客户以及免费版Wordfence的用户。
凭借该帖子，Wordfence还经过其WordfenceCare效劳向受缝隙影响的WordPress用户供应事情相应效劳。
参考及根源：