数千个WordPress站点未修补关键安全漏洞

安全研究人员指出，数千个运行WordPress的站点仍未修补一个广泛使用的插件中的关键安全漏洞，该漏洞已被积极利用，允许未经认证的用户执行恶意代码。

漏洞详情

• 漏洞编号：CVE-2024-11972
• 受影响插件：Hunk Companion
• 影响范围：10,000个使用WordPress内容管理系统的站点
• 严重性评分：9.8/10
• 修补情况：本周初已发布补丁，但截至发布时，仅有不到12%的用户安装了补丁，意味着近9,000个站点可能成为攻击目标。

威胁分析

WordPress安全公司WP Scan的研究员Daniel Rodriguez表示，该漏洞是一个重大且多方面的威胁，针对使用ThemeHunk主题和Hunk Companion插件的站点。该漏洞使数千个网站面临匿名、未经认证的攻击，可能严重损害其完整性。

攻击过程

• 初始攻击向量：CVE-2024-11972
• 攻击手法：攻击者利用漏洞使受影响的站点自动导航到wordpress.org并下载未更新的WP Query Console插件。
• 后续攻击：攻击者利用WP Query Console插件中的漏洞（CVE-2024-50498，严重性评分为10）执行恶意代码。该漏洞目前仍未修补。

漏洞根源

Hunk Companion代码中的缺陷允许“未经认证的请求绕过预期检查”，导致“任意插件的安装和激活”。该漏洞已在两天前发布的1.9.0版本中修补。此前，Hunk Companion开发者在1.8.5版本中修补了类似的漏洞（CVE-2024-9707，严重性评分为9.8）。

当前状态

• 补丁安装率：仅有11.9%的站点安装了更新。
• 特殊URL：攻击者使用了一个特殊的wordpress.org URL，绕过了插件下载的封锁。目前尚不清楚该URL是否仍然有效。

未回应问题

WordPress.org代表未立即回应关于为何之前存在覆盖机制以及该机制是否仍然有效的电子邮件询问。

总结

该漏洞对使用Hunk Companion插件的WordPress站点构成了严重威胁，尽管已发布补丁，但大多数站点仍未更新，可能继续面临攻击。建议所有使用该插件的站点尽快安装最新补丁以防范潜在风险。