发布时间：2023-2-20 分类： 行业资讯
2020年，Wordpress博客系统刚被网站安全检测出有插件旁路漏洞。插件的开发公司对插件进行了升级，发布了1.7版本，修复了之前的漏洞。造成企业网站漏洞的原因是没有许可证认证的普通用户已经给了系统管理员权限。黑客可以以站长身份登录，可以将wp公司网站的所有数据表恢复到之前的模式，然后上传webshell公司网站木马代码对公司网站进行篡改。目前，受损版本包含最新的Wp系统。
这个Wp插件的主要功能是自定义网站主题的设计并导入代码，让很多不懂代码设计的新手快速掌握设计网站的技巧。目前全球使用这个插件的人数已经达到25万以上，也是目前受环境影响最大的插件。受网站漏洞影响的插件版本存在于1.5-1.6版本。根据目前Wp的官方统计，使用这个版本的用户和网站数量已经达到了95%左右，确实有太多的网站受到了漏洞的影响。建议站长们尽快升级这个插件，修复漏洞。
利用网站漏洞的方式和条件必须是启用主题插件，并将插件安装在公司的网站上，这样黑客才有机会攻击网站。SINE安全技术在实际漏洞测试过程中也发现了一些问题。插件绕过漏洞利用的前提是有条件的。网站数据库表中的普通用户必须有管理员账户。目前的网站安全解决方案是尽快将插件升级到最新版本。有些企业网站不知道如何升级，应该在后台关闭插件，防止黑客入侵。
针对插件漏洞的补救措施可以在“wdcp_init”的Hook中的网站环境中运行，也可以启用不需要通过认证的普通用户的“/wp-wdcp/wdcp-ajax.tp框架”。缺乏身份验证使该漏洞变得无用。如果数据表中有一个“wdcp”普通用户，没有授权认证的黑客会使用这个账号登录，删除所有以定义的数据表前缀开头的。可以删除用户以防止网站受到攻击。
只要把所有的表都删除，它就会用高级设置和数据信息填充数据表，然后把“wdcp”普通用户的密码改成他们之前已经知道的登录密码。某安全机构于2月6日检测到该网站的插件旁路漏洞，并于当天向插件开发公司报告了其安全性。10天后，也就是上周，主题烧烤插件公司发布了一个新版本，修复了这个网站的漏洞。
写这篇文章的时候，打补丁的插件最新版本已经达到20多万个，说明还有很多企业网站没有修复漏洞，仍然有被攻击的风险。根据Wp官方数据安全中心发布的安全报告中显示的两个网站漏洞，当黑客利用这些网站漏洞时，会产生与此次安全事件相同的影响。建议使用该插件的wordpress网站尽快升级，修复漏洞，避免对网站和公司造成更大的经济损失和影响。
其中，一个CVE-2020-7048允许普通用户在未经许可的情况下从其他数据表中重置该表，而另一个CVE-2020-7047则赋予账户网站管理员最低的管理权限。如果你对网站代码不太了解，不知道如何修复wordpress漏洞，或者你的网站是由wp系统开发的，数据被黑客篡改，你也可以找专业的网站安全公司来处理。
