导读 WordPress用户应尽快更新到5 7 2版,因为世界上最流行的CMS的最新版本包括一个解决重要漏洞的安全补丁。漏洞跟踪为CVE-2020-36326,影响Wor

WordPress用户应尽快更新到5.7.2版,因为世界上最流行的CMS的最新版本包括一个解决重要漏洞的安全补丁。漏洞跟踪为CVE-2020-36326,影响WordPress 3.7至5.7版本,并且其严重等级为9.8,因为它可能使攻击者可以对未打补丁的网站进行各种恶意攻击。

虽然现在可以手动下载包含补丁的更新,但是启用了自动下载的WordPress网站将无需任何其他操作即可接收到该补丁。

站点所有者仍应检查自己是否正在运行最新版本,如果不是,则应自行安装,以防止成为利用此漏洞的任何潜在攻击的受害者。

该漏洞本身是在WordPress的PHPMailer组件中发现的对象注入漏洞,默认情况下该对象用于发送电子邮件。

根据安全公司Wordfence的说法,所有对象注入漏洞都需要“ POP链”才能造成额外的损害。这意味着需要在WordPress站点上运行具有易受攻击的魔术方法的其他软件才能利用此漏洞,因此很难做到。

在新的博客文章中,Wordfence的Ram Gall解释了攻击者可能如何利用此漏洞,并说:

“尽管可以直接访问PHPMailer的任何人都可以注入一个PHP对象,从而保证了PHPMailer组件本身的严重等级,但是WordPress不允许用户这种直接访问。相反,所有访问都是通过核心和各种插件中公开的功能进行的。为了利用此漏洞,攻击者需要找到一种使用PHPMailer发送消息并向该消息添加附件的方法。此外,攻击者将需要找到一种方法来完全控制附件的路径。”

尽管对于攻击者来说,在野外充分利用此漏洞将非常困难,但如果站点所有者尚未将WordPress核心更新为最新版本,则仍应将其更新。