首页 > 业界 > 关键词  > wordpress最新资讯  > 正文

WordPress上的PHP Everywhere插件曝出三个高危RCE漏洞

2022-02-12 14:59 · 稿源: cnbeta

Bleeping Computer 报道称:安全研究人员在 WordPress 的“PHP Everywhere”插件中发现了三个严重的远程代码执行(RCE)漏洞,导致全球超过 3 万个使用该插件的网站都受到了影响。据悉,该插件旨在方便管理员在页面、帖子、侧边栏、或任何 Gutenberg 块中插入 PHP 代码,并借此来显示基于评估的 PHP 表达式的动态内容。

Wordfence 安全分析师指出,CVSS v3 评分高达 9.9 的这三个漏洞,可被贡献着或订阅者所利用,且波及 2.0.3 及以下的所有 WordPress 版本。

首先是 CVE-2022-24663:

只需发送带有‘短代码’参数设置的 PHP Everywhere 请求,任何订阅者都可利用该 RCE 漏洞,并在站点上执行任何 PHP 代码。

其次是 CVE-2022-24664:

贡献者可借助插件的元框来利用该 RCE 漏洞,前提是创建一则帖子,添加一个 PHP 代码元框,然后进行预览。

然后是 CVE-2022-24665:

具有 edit_posts 权限、并可添加 PHP Everywhere Gutenberg 块的贡献者们,都可利用该 RCE 漏洞。

在易受攻击的插件版本中,PHP Everywhere 并未默认指定‘仅管理员权限’可用的安全设置,结果留下了这一隐患。

尽管后两个漏洞因需要贡献者的权限级别而不那么容易被利用,但首个漏洞还是让业界感到惊诧不已。

举个例子,只要某个用户在网站上以‘订阅者’的身份登录,便足以获得相应的权限来执行恶意 PHP 代码。

不论怎样,可在网站上执行任意代码,都可能导致整个站点被攻击者所接管 —— 这也是所有网站安全事故中最糟糕的一种情况。

截图(来自:Wordfence)

在 2022 年 1 月 4 日发现了上述漏洞字后,Wordfence 团队很快就向 PHP Everywhere 作者通报了此事。

厂商于 2022 年 1 月 10 日发布了 3.0.0 版安全更新,由于需要大量重写代码,所以版本号也发生了重大改变。

尴尬的是,尽管开发者行动迅速,但网站管理员普遍不怎么会定期更新其 WordPress 网站和插件。

由 WordPress.org 分享的统计数据可知,自 Bug 修复方案推出以来,3 万次安装中只有 1.5 万次更新了插件。

有鉴于此,考虑到三个 RCE 漏洞的严重性,我们在此强烈建议所有 PHP Everywhere 用户确保其已升级到最新可用的 3.0.0 版本。

需要注意的是,如果你在站点上使用了经典编辑器,则需要先卸载该插件、并找到替代解决方案,以在其组件上托管自定义的 PHP 代码。

因为 PHP Everywhere 的 3.0.0 版本仅支持基于 Block 编辑器的 PHP 片段,且作者不大可能致力于恢复落后的 Classic 功能。

举报

  • 相关推荐
  • 大家在看
  • 【腾讯云】新人首购1元起 腾讯云2核4G服务器每月16元

    腾讯云新活动来了,云服务器多种机型限时抢购,产品首购低至1折,续费最高享3.6折优惠。,专业技术7*24小时在线服务,腾讯云为企业和个人提供快捷,安全,稳定的云服务!

    广告
  • 向日葵-漏洞科普:网站高危漏洞究竟如何修复,向日葵有话说

    一般网站出现漏洞,会导致数据被恶意的去修改,或者是一些敏感的数据被盗取,从而造成经济的损失,所以向日葵提醒大家,网站漏洞修复很重要,尤其是网站高危漏洞的修复...网站高危漏洞指的是网站页面出现极其严重的漏洞,这些漏洞很容易被病毒、木马、黑客等侵入,导致网站崩溃或者被盗取重要信息、密码等...高危漏洞含SQL注入漏洞、XSS跨站脚本漏洞、页面存在源代码泄露、网站存在备份文件、网站存在包含SVN信息的文件、网站存在Resin任意文件读取漏洞......

  • 免费的pdf转word软件有哪些?分享这三个软件给大家

    相信很多小伙伴对Word文档转换为PDF该怎么操作可以说是得心应手,但是将PDF转为Word就有小伙伴会不知道该怎么转了...但上网搜索后,发现好多相似的软件,不知道哪个靠谱?贴心的我 已经亲自使用并整理出三款免费的PDF转Word软件给大家...我在使用它进行PDF转Word的过程中发现操作很简便,基本上三步就可以完成转换,且转换后的文件排版、字体字号等没有发生改变,不用后续再排版,节省了很多时间...这款软件大家都很熟悉了,它就是微软公司推出的一款办公编辑软件...好了,今天的分享就到这里啦......

  • 黑客通过老旧外挂程序锁定近160万个WordPress网站

    Wordfence针对一起大规模网站攻击行动提出警告,黑客锁定WordPress外挂程序WPBakery Page Builder的Kaswara元件下手,利用任意文件上传漏洞CVE-2021- 24284 进行攻击...由于此漏洞CVSS风险评分达到 10 分,且没有修补软体,厂商也不再维护此外挂程序,攻击者有可能将其用于接管网站,他们呼吁管理者最好移除此外挂程序...

  • Apple Maps为另外三个国家提供更详细的3D数据

    以法国巴黎为例,其演示文稿中的企业已更新和重新组织,埃菲尔铁塔等地点现在在Flyover中有一个3D模型...

  • 想知道如何将PDF合并成一个?这里有三个简单的方法分享

    在工作时,客户要求你将要发送的几个PDF文件合并成一个发送给他,这时候再上网搜索合并方法难免手忙脚乱,那么,我们要如何将PDF合并成一个呢?下面这三个方法都是我亲自尝试后觉得比较简单的,新手小白也能轻松掌握...合并方法一:使用“全能PDF转换助手”进行合并...合并方法二:使用“百度网盘”进行合并...合并方法三:使用“Notability”进行合并...今天关于“如何将PDF合并成一个”的分享到这就结束了,小伙伴们学会了吗?学会的小伙伴,记得点个关注哦,明天还有更多实用的干货分享......

  • 打工人吃出三个IPO:最苦的生意,比麻辣烫还惨

    但中式快餐大多数门店的翻台率,却与其他正餐品类拉不开差距,比如,海底捞2019年的翻台率有4.8,乡村基和大米先生却只有2.8和3.3...为此,曾因业绩差撤离美股市场的乡村基,“吃一堑长一智”,率先推出副牌“大米先生”,打造第二增长曲线...当然,老娘舅承担的外卖成本也水涨船高,平台服务费逐年增加,2019年至2021年分别为2379万、2616万和3222万;骑手配送费则从2019年的9770万涨至2020年的1亿,2021年达到1.2亿......

  • Serverless模板重磅上线!多场景覆盖、小时级快速集成

    Serverless模板是基于Serverless服务构建的场景化解决方案,提供了应用生态常见场景的代码实现,目前支持抽奖活动、游戏排行榜、图片尺寸调整、用户数据删除、数据库记录数限制、短URL生成等场景...丰富的模板,适配多元化需求...“抽奖活动”之外,Serverless模板还将陆续上线更多场景化解决方案,以适配开发者多元化需求......

  • 星Galaxy S23 Ultra将首发2亿像素传感器HP2:比HP1和HP3更能打

    博主i冰宇宙爆料称,三星GalaxyS23Ultra将会搭载2亿像素主摄,并且还将首发2亿像素传感器ISOCELLHP2...三星拥有ISOCELLHP1和ISOCELLHP3这两款2亿像素传感器,前者已经确定将被摩托罗拉新机X30Pro/Edge30Ultra首发...三星手机目前像素最高的镜头是GalaxyS22Ultra搭载的1.08亿像素,在此前的GalaxyS20系列和S21系列使用的也是该镜头...

  • 从手机厂位“出走”的三个男人

    他们曾经享誉手机业,出走后归来,又在这个市场激起不少涟漪...继2021年推出旗下首款TWS耳机后,这家公司在本月12日发布了首款智能手机Nothing Phone1...根据IDC发布的报告,今年全球智能手机出货量预计为13亿台,同比下降3.5%...或许是因为这段工作经历,帮助俞雷在刚进入金立,就凭借策划的“海阔天空”金立M5Plus发布会,获评“2015年国产手机十大营销案例”之首...例如,俞雷在职金立期间,金立曾聘请薛之谦、冯小刚、余文乐、刘涛等大牌明星为金立手机产品代言,引发了市场广泛关注......

  • 向日葵科普:路由器在UPNP服务上出现漏洞怎么办?

    很多朋友不知道的是,路由器上也有着很多漏洞的,其中路由器在UPNP服务上就会出现漏洞问题...最近发生的路由器漏洞事件,采用Broadcom方案的路由器集体中招,在UPNP服务上存在重大漏洞,可以让黑客入侵并远程控制,这可是件不得了的事情,向日葵就来给大家讲解一下路由器在UPNP服务上出现漏洞应该怎么办...目前看比较需要端口转发的主要还是P2P下载,这需要根据下载软件具体情况具体分析......

  • Steam Deck买哪个版本最好?

    需求不高的256G即可。1.64GB的只有一个便携盒,其他的就是一个裸机,64GB 型号使用 eMMC存储技术。2.256GB的有一个SSD固态硬盘,还有个人资料捆绑包,以及一个便携盒子,大家都知道有SSD和没有固态的差别,所以建议大家至少是买256GB以上的。3.512GB的除了便携盒还有SSD,此外有高级防眩光蚀刻玻璃和独家虚拟键盘主题,屏幕采用防眩光蚀刻玻璃这意味着在明亮的环境中应该更容易看到——比如在阳光明媚的日子在户外玩耍。4.据 Valve称,与512GB NVMe SSD 相比,64GB eMMC 加载游戏的速度要慢12.5%。对于启动速度,前者比后者慢25%。此外,由于 NVMe 的扩展方式,512GB 型号比256GB 型号更快。5.选择哪个其实还是看自己需求,一般来说256GB的就差不多了,不过性价比最高的还是512GB,64GB的就不要买了,毕竟512版本有多了额外的存储空间以及一个防眩光蚀刻玻璃,在太阳光比较亮的地方游玩比较友好。

  • iPad 10会涨价吗?

    预计不会涨价iPad 10大概率会保持2499元的起售价,和往年的价格一致。iPad 10作为苹果入门级平板,主要是为了让更多消费者接触苹果的平板产品线,其价格在最近几年也都十分的稳定,基本上都是2499元(64GB)起售,如果是电商平台的话,购物节期间甚至还可能更便宜。iPad 10如果是用来看文件、视频、上网课,那么它的实用性还是比较高的,对比安卓平板电脑来说,也适合那些手上有多个苹果设备的用户购买,与iPhone、AirPods等苹果产品一起使用十分方便

  • Steam Deck各版本有什么区别?

    有以下区别。1.64GB的只有一个便携盒,其他的就是一个裸机,64GB 型号使用 eMMC存储技术。2.256GB的有一个SSD固态硬盘,还有个人资料捆绑包,以及一个便携盒子,大家都知道有SSD和没有固态的差别,所以建议大家至少是买256GB以上的。3.512GB的除了便携盒还有SSD,此外有高级防眩光蚀刻玻璃和独家虚拟键盘主题,屏幕采用防眩光蚀刻玻璃这意味着在明亮的环境中应该更容易看到——比如在阳光明媚的日子在户外玩耍。4.据 Valve称,与512GB NVMe SSD 相比,64GB eMMC 加载游戏的速度要慢12.5%。对于启动速度,前者比后者慢25%。此外,由于 NVMe 的扩展方式,512GB 型号比256GB 型号更快。

  • Steam Deck画面屏幕参数如何?

    参数如下。Steam Deck 配备7英寸触摸屏,分辨率为1280x800,刷新率为60Hz。这种玻璃是一种光学粘合的 IPS LCD,可产生高达400尼特的亮度。如前所述,高端的512GB 型号具有防眩光蚀刻屏幕,也是触控屏,此外还增加了环境光传感器。

  • iPad 10和Air3的区别?

    处理器、屏幕、外观等不同处理器:iPad 10处理器是A14,iPad Air3处理器是A12 Bionic屏幕:iPad 10屏幕是10.5英寸LCD屏幕,iPad Air3屏幕是10. 5 英寸,视网膜显示屏具备原彩显示技术2224x1668 像素外观:iPad 10是非全面屏设计,iPad Air3是全面屏设计指纹解锁:iPad 10正面的Touch ID指纹解锁,iPad Air3是电源结合指纹解锁扬声器:iPad 10是单扬声器,iPad Air3是双扬声器

  • Steam Deck和PC的存档互通吗?

    互通。Steam Cloud 是一项云保存功能,在很长一段时间内一直是 Steam 的主打产品。如果您切换 PC 或需要重新安装游戏,该选项可让您轻松从上次中断的地方继续。随着 Steam 平台的发布,Valve 扩展了这一功能。新的动态云同步可以让你将你的游戏会话从 Steam 平台无缝转换到另一台设备或 PC,而无需退出游戏。

  • iPad 10和9区别是什么?

    处理器、屏幕、电池等不同处理器:iPad10处理器是A14芯片,iPad9处理器是A13屏幕:iPad10屏幕是10.5英寸,iPad9屏幕是10.2英寸,同时iPad10边框比较窄机身:iPad10机身的边框是直角的,iPad9的机身边框是圆润的电池充电:iPad10电池比iPad9更大,充电速度也从20W升级到30W

  • Steam Deck怎么连接到显示器?

    按照以下步骤进行。1.找到兼容的电视或电脑显示器。请记住,不同的游戏在移动到大屏幕时会看到不同的结果,必须有一个HDMI的接口,大多数显示器(有些只有 DisplayPort,但这种情况很少见)和电视都有 HDMI 端口,所以您只需要确保有一个免费的 HDMI 端口供你使用。2.接下来,您需要一个 USB-C 转 HDMI 适配器。3.你还需要确保HDMI电线足够长,这样你就不必坐在显示器旁边。4.将 HDMI 电线连接到显示器,然后连接到适配器。将适配器的 USB-C 电线连接到你的Steam Deck。5.请打开您的Steam Deck并显示。至少等待几秒钟,让 Deck 切换到外部显示器,如果没反应,请仔细检查 HDMI 端口的输入编号,并确保您的显示器在正确的输入上。有时拔下 HDMI电线并将其重新插入也可以解决识别问题。6.请保持更新您的Steam Deck,Valve 表示他们正在努力改善所有外部显示器的对接体验,经常的保持新版本会有意想不到的收获。

  • iPad 10代什么时候上市?

    2022年10月iPad10 代,也就是iPad2022款,预计会在2022年10月发布并上市。iPad10代主要升级是处理器是A14,屏幕升级到10.5英寸,边框变窄,同时边框也变成了直角设计,保留了Touch ID指纹解锁,取消了3.5mm耳机孔,起售价预计是2499元(64GB),蜂窝版本可支持5G网络

  • Steam Deck怎么增加存储空间?

    可买SD卡。Steam Deck 在系统底部包含一个 UHS-1总线插槽,支持 SD、SDXC 和 SDHC 卡。您可以在电商平台上花费2购买512GB 卡。Steam Deck 具有自动格式化功能,让选择和使用 SD 变得轻而易举。此外,你可以从卡启动操作系统,例如 Windows。

  • iPad 10出来了还买9吗?

    不建议iPad 10在2022年秋季发布,不少人在考虑iPad10推出后要不要购买上一代的iPad 9。目前是不推荐购买的,原因是iPad10对比iPad9升级比较明显,包括屏幕变大,从10.2英寸升级到10.5英寸,分辨率也提升了,续航也获得了加强,处理器还升级到了A14。iPad9虽然会价格便宜一点,但毕竟性能差距还是有的,并且便宜的价格不是非常多,因此还是更推荐购买iPad 10。

  • Steam Deck支持多个账号切换吗?

    支持。Steam Deck 可容纳多个帐户,因此每个人都有自己的本地保存数据和设置。您可以方便地在这些配置文件之间进行切换,而无需每次都登录,这与Nintendo Switch、PlayStation 5和Xbox Series S/X不同。

  • iPad 10出了后iPad 9会降价吗?

    会iPad 10预计在2022年秋季正式发布,作为苹果入门级的iPad产品,其定价也比较便宜,预计64GB版本起步价为2499元。在iPad 10推出了,iPad 9的价格肯定会降价,预计起步价格会降至2100元左右,之后随着双十一活动,其价格可能会有进一步的降低。

  • Steam Deck可以离线玩游戏吗?

    可以。虽然Steam Deck是可以离线游玩游戏的,但是有一些必须在线的游戏就不支持了。首先,在线多人游戏,就其本质而言,只能在线玩;Steam 平台需要连接到互联网才能使用这些游戏。抱歉,除非您找到互联网连接的游戏,否则无法启动像Lost Ark这样的网游 。其次,一些发行商实施 DRM,要求您的游戏始终在线。许多动视游戏确实有这个限制,所以在购买之前做一些研究。

  • iPad 10发布后多久能买到?

    大约2周iPad 10预计会在2022年9月或10月发布,在发布会后的两周左右会正式上架,届时消费者可以在苹果官网、直营店、天猫、京东、苹果授权经销商可以购买到iPad10。iPad10的定价预计是2499元起,和前几代的价格一样,起始的存储容量为64GB,另外还有256GB可以选购,蜂窝版本还支持5G网络。

  • iPad 10支持二代笔吗?

    不支持iPad 10不支持苹果Apple Pencil二代笔,只能使用第一代的笔。原因是它使用的屏幕是10. 5 英寸Retina屏幕,LCD材质,和目前iPad Air上的屏幕差不多,因此它只能使用第二代的手写笔。

  • iPad 10有home键吗?

    有iPad 10有实体的Home键,也就是Touch ID指纹识别按键,目前仅有入门级iPad以及iPhoneSE手机保留了这一按键,其他的苹果设备已经开始使用Face ID面容解锁以及结合了电源键的指纹解锁方式。Home键是苹果从iPhone初代就已经使用的功能,由于操作简单方便,也在之后被众多手机厂商所推广使用。

  • Steam Deck怎么格式化SD卡?

    按照以下步骤进行操作。1.使用 microSD 在Steam Deck上安装游戏之前,需要对其进行格式化。2.打开Steam Deck平台,找到系统设置。3.向下导航菜单以找到格式化 microSD 卡的选项,然后单击格式化选项。4.系统将要求您验证是否要格式化卡,因为这会删除卡上的所有数据。如果卡是新的且未使用,请不要担心,只需单击确定即可。5.如果使用了该卡,请确保您可以通过格式化过程删除其中的所有数据。格式化卡可能需要一些时间,具体取决于卡的大小。例如,我们使用了512GB microSD 卡。这个过程至少需要5分钟才能完成。

  • iPad 10有128g吗?

    没有iPad 10存储版本为64GB和256GB两种,没有提供128GB的存储选择。iPad 10搭载了A14处理器,屏幕升级为10.5英寸,边框略有变窄,同时边框也变成了直角设计,保留了正面的Touch ID指纹解锁功能,机身变得更薄更轻,并且接口改为了Type-C,也取消了3.5mm耳机孔

  • Steam Deck能玩破解游戏吗?

    能玩。Steam Deck目前是可以搞两个系统,一个是原生的SteamOS,一个就是可以安装windows11或者是10,所以你要玩破解游戏的话,那么就需要安装一下windows系统,这样就跟你电脑一样进行安装破解游戏了,觉得复杂的就完全可以把Steam Deck当作是小的笔记本电脑,都是一样的。不过Steam Deck安装windows系统现在虽然是可以,但是需要自己去研究一下怎么进行安装,特别是目前steam官方有驱动,所以你必须安装steam官方支持的windows驱动,这样Steam Deck才能联网、有声音等等,需要折腾一番。Steam Deck不仅可以玩破解游戏,还可以玩模拟器游戏,只要电脑windows能装的模拟器例如FC、MD、wiiu、PSP、PS2甚至switch等等都是可以的。

今日大家都在搜的词: