搜索

[6916] 2020-09-09_WordPressFileManager插件高危漏洞风险提示

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-09-09_WordPressFileManager插件高危漏洞风险提示 W o r d P r e s s   F i l e   M a n a g e r 插 件 高 危 漏 洞 风 险 提 示 E 安 全   2 0 2 0 - 0 9 - 0 9 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 漏 洞 公 告 近 日 ， 安 恒 应 急 响 应 中 心 监 测 到 W o r d P r e s s   F i l e   M a n a g e r   P l u g i n 官 网 发 布 了 F i l e   M a n a g e r 插 件 的 安 全 补 丁 更 新 公 告 ， 相 关 链 接 ： h t t p s : / / f i l e m a n a g e r p r o . i o / f i l e - m a n a g e r - p l u g i n - s e c u r i t y - r e l e a s e / 根 据 公 告 ， 免 费 版 的 F i l e   M a n a g e r   6 . 0 到 6 . 8 版 本 ， P r o 版 的 F i l e   M a n a g e r   P r o   7 . 6 到 7 版 本 存 在 任 意 文 件 上 传 漏 洞 ， 恶 意 攻 击 者 利 用 该 插 件 漏 洞 可 能 进 行 任 意 文 件 上 传 攻 击 ， 并 进 一 步 调 用 代 码 执 行 ， 在 W o r d P r e s s   F i l e   M a n a g e r 论 坛 中 已 有 多 个 用 户 反 馈 因 为 安 装 该 插 件 而 受 到 黑 客 攻 击 ， 相 关 链 接 ： h t t p s : / / w o r d p r e s s . o r g / s u p p o r t / p l u g i n / w p - f i l e - m a n a g e r / 建 议 安 装 有 该 插 件 的 用 户 尽 快 更 新 到 漏 洞 修 复 的 版 本 。 影 响 范 围 影 响 范 围 F i l e   M a n a g e r   P l u g i n 任 意 文 件 上 传 漏 洞 主 要 影 响 以 下 版 本 ： 免 费 版 受 影 响 版 本 ： V 6 . 0 - V 6 . 8 ， 建 议 更 新 到 V 6 . 9 以 上 版 本 P r o 版 受 影 响 版 本 ： V 7 . 6 - V 7 . 0 ， 建 议 更 新 到 V 8 . 0 以 上 版 本 版 本 更 新 参 考 ： h t t p s : / / f i l e m a n a g e r p r o . i o / a r t i c l e / h o w - t o - d o w n l o a d - l a t e s t - v e r s i o n - o f - f i l e - m a n a g e r - p r o / 1 、 通 过 访 问 W o r d P r e s s 仪 表 盘 ， 选 择 插 件 ， 然 后 找 到 插 件 下 方 的 “ 立 即 更 新 ” 即 可 2 、 通 过 访 问 F i l e   M a n a g e r 官 网 中 “ 我 的 账 户 ” ， 在 信 息 中 心 下 找 到 “ 许 可 和 下 载 ” 从 此 处 下 载 最 新 版 本 即 可 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。
通 过 安 恒 研 究 院 S U M A P 平 台 对 全 球 部 署 的 W o r d P r e s s 资 产 进 行 统 计 ， 最 新 查 询 分 布 情 况 如 下 ： 全 球 分 布 ： 国 内 分 布 ： 漏 洞 描 述 漏 洞 描 述 W o r d P r e s s   F i l e   M a n a g e r   P l u g i n 任 意 文 件 上 传 漏 洞 ， 根 据 分 析 ， 漏 洞 主 要 因 为 F i l e   M a n a g e r 插 件 中 的 e l F i n d e r 库 的 调 用 未 进 行 严 格 访 问 控 制 触 发 ， 导 致 可 以 被 直 接 利 用 ， 由 于 e l F i n d e r 库 有 跨 目 录 限 制 ， 如 果 使 用 了 该 插 件 可 优 先 排 查 以 下 目 录 是 否 存 在 可 疑 内 容 ： / w p - c o n t e n t / p l u g i n s / w p - f i l e - m a n a g e r / l i b / f i l e s 该 漏 洞 危 害 较 大 ， 安 恒 应 急 响 应 中 心 已 验 证 漏 洞 的 可 利 用 性 ， 建 议 尽 快 测 试 安 全 更 新 补 丁 ， 并 及 时 更 新 。
缓 解 措 施 缓 解 措 施 紧 急 ： 目 前 漏 洞 利 用 案 例 已 经 出 现 （ 官 网 已 有 用 户 反 映 安 装 了 该 插 件 的 网 站 被 黑 ） ， 虽 然 漏 洞 细 节 和 利 用 代 码 暂 未 公 开 ， 但 可 以 通 过 补 丁 对 比 方 式 定 位 漏 洞 触 发 点 并 进 一 步 开 发 出 漏 洞 利 用 代 码 ， 建 议 及 时 测 试 更 新 补 丁 ， 并 做 好 数 据 备 份 。 安 恒 应 急 响 应 中 心 2 0 2 0 年 9 月 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 当 心 ！ V i s a 发 现 一 款 新 型 信 用 卡 窃 取 器   能 够 规 避 检 测 并 窃 取 用 户 卡 内 数 据 超 7 6 0 万 密 歇 根 州 选 民 记 录 被 俄 罗 斯 黑 客 泄 露 ？ 美 政 府 辟 谣 ： 假 消 息 ！ W e b 渗 透 从 A p p 寻 找 攻 击 面 的 几 个 方 法 为 提 高 用 户 隐 私   谷 歌 C h r o m e 浏 览 器 推 出 了 安 全 D N S 雷 神 众 测 漏 洞 周 报   2 0 2 0 . 0 8 . 3 1 - 2 0 2 0 . 0 9 . 0 6 - 4 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理