近日，科技新聞界傳來警報，知名博客平臺WordPress上的RealHome主題與Easy Real Estate插件被發(fā)現(xiàn)存在高危安全漏洞，這一消息由bleepingcomputer網(wǎng)站率先披露。據(jù)稱，這些漏洞能夠讓未經(jīng)授權(quán)的用戶輕易獲取管理員權(quán)限，進而對網(wǎng)站進行惡意操作，目前已有數(shù)萬網(wǎng)站面臨潛在威脅。
尤為令人不安的是，自2024年9月起，漏洞的發(fā)現(xiàn)者Patchstack曾多次嘗試聯(lián)系主題的開發(fā)者InspiryThemes，但遺憾的是，至今未收到任何回復(fù)，漏洞問題也未得到修復(fù)。這一拖延無疑加劇了網(wǎng)站安全的風(fēng)險。
關(guān)于RealHome主題的漏洞（CVE-2024-32444），其嚴重性不容小覷，CVSS評分高達9.8。該漏洞源于inspiry_ajax_register函數(shù)在處理新賬戶注冊時，未執(zhí)行充分的授權(quán)檢查與隨機數(shù)驗證。這意味著，攻擊者有機會在注冊請求中將自己的角色設(shè)定為“管理員”，從而繞過安全機制，全面接管WordPress網(wǎng)站。一旦得手，他們便可隨意篡改內(nèi)容、植入惡意腳本，甚至訪問用戶的敏感數(shù)據(jù)。據(jù)統(tǒng)計，Envato Market上的數(shù)據(jù)顯示，RealHome主題已被應(yīng)用于32600個網(wǎng)站，這些網(wǎng)站均處于風(fēng)險之中。
而Easy Real Estate插件的漏洞（CVE-2024-32555）同樣不容忽視，其CVSS評分同樣高達9.8。該漏洞涉及插件的社交登錄功能，存在一個顯著缺陷：允許用戶僅憑郵箱地址登錄，無需驗證郵箱地址的真實歸屬。這意味著，只要攻擊者掌握了管理員的郵箱地址，便能無需密碼直接登錄，并獲得管理員權(quán)限。這一漏洞的潛在后果與RealHome主題的漏洞相似，均可能導(dǎo)致網(wǎng)站遭受嚴重的安全損害。
鑒于InspiryThemes尚未發(fā)布任何補丁來修復(fù)這些漏洞，對于那些正在使用RealHome主題或Easy Real Estate插件的網(wǎng)站所有者和管理員來說，形勢尤為緊迫。他們被強烈建議立即禁用這些存在漏洞的主題和插件，以避免遭受潛在的攻擊。由于漏洞信息已經(jīng)公開，攻擊者很可能正在積極尋找并掃描易受攻擊的網(wǎng)站，因此迅速采取緩解措施至關(guān)重要。
為了進一步增強網(wǎng)站的安全性，網(wǎng)站所有者和管理員還應(yīng)考慮采取額外的安全措施，如定期更新WordPress及其所有插件和主題、使用強密碼、啟用雙因素身份驗證等。這些措施將有助于降低遭受攻擊的風(fēng)險，保護網(wǎng)站和用戶數(shù)據(jù)的安全。
面對如此嚴峻的安全挑戰(zhàn)，網(wǎng)站安全意識的提升顯得尤為重要。所有網(wǎng)站所有者和管理員都應(yīng)時刻保持警惕，密切關(guān)注與自身網(wǎng)站相關(guān)的安全信息，以便在第一時間發(fā)現(xiàn)并應(yīng)對潛在的安全威脅。只有這樣，才能確保網(wǎng)站的安全穩(wěn)定運行，保障用戶的利益不受損害。
