黑客瞄准 15 万个网站使用的 WordPress 日历插件

文章预览

研究发现，黑客正试图利用现代事件日历 WordPress 插件中的漏洞（该漏洞存在于超过 150,000 个网站上），将任意文件上传到易受攻击的站点并远程执行代码。 该插件由 Webnus 开发，用于组织和管理现场、虚拟或混合活动。 攻击中利用的漏洞被标识为 CVE-2024-5441，并获得了高严重性评分（CVSS v3.1：8.8）。该漏洞由 Friderika Baranyai 于 5 月 20 日在 Wordfence 的 Bug Bounty Extravaganza 期间发现并报告。 在一份描述安全问题的报告中，Wordfence 表示，安全问题源于插件的“set_featured_image”函数缺乏文件类型验证，该函数用于上传和设置事件的特色图片。 该函数获取图像 URL 和帖子 ID，尝试获取附件 ID，如果未找到，则使用 get_web_page 函数下载图像。 它使用 wp_remote_get 或 file_get_contents 检索图像，并使用 file_put_contents 函数将其保存到 WordPress 上传目录。 现代事件日历版 ………………………………