WordPress插件漏洞影响超20万网站

关键要点

• 超过20万使用Ultimate Member插件的WordPress网站存在严重漏洞。
• 漏洞编号CVE-2023-3460 是一个关键的权限提升缺陷。
• 攻击者可以利用该漏洞进行不必要的元数据更新，并注册额外的管理员用户。
• 虽然有最近的补丁更新，但尚未完全修复该漏洞。

根据的报道，超过20万使用UltimateMember插件的WordPress网站可能面临利用关键权限提升漏洞进行的持续攻击。该漏洞编号为CVE-2023-3460，攻击早在本月初便已启动。据至少两位WordPress网站所有者的反馈，攻击情况已经被识别并报告。

这一漏洞的产生主要是由于UltimateMember的黑名单逻辑与WordPress的元数据键管理之间的操作差异，导致攻击者能够进行不必要的元数据键更新，从而允许创建额外的管理员用户账户。这一点根据WPScan的报告得到了证实。

尽管在UltimateMember最近发布的两个版本中已推出补丁来修复这个安全漏洞，但截至目前，漏洞仍未完全解决。因此，专家建议暂时禁用该插件以防止潜在攻击，并进行全面审计，以寻找可能存在的恶意账户。

不容忽视的安全建议： - 禁用受影响插件以降低风险。 - 定期进行网站审计，排查可疑账户。

请务必关注WordPress相关的安全更新，以保障网站的安全性。