WordPress 插件 NextGen Gallery 遭遇严重漏洞，网站有被恶意接管可能性-低调大师

WordPress 插件 NextGen Gallery 遭遇严重漏洞，网站有被恶意接管可能性

2021-02-09 580

NextGen Gallery 的开发团队目前已解决了这两个严重的 CSRF 漏洞，以保护站点免受潜在的接管攻击。

NextGen Gallery 是一个用于创建图像库的 WordPress 插件，目前具有超过 80 万次有效安装，此次安全更新对于所有安装了该插件的网站所有者来说都是必须进行更新的，具有最高优先级。

后门注入和网站接管

Wordfence 的威胁情报团队发现了这两个 NextGEN Gallery 安全漏洞，并将其标记为高危风险等级。

两个漏洞均为跨站点请求伪造（Cross-Site Request Forgery，CSRF）错误，可能会通过文件上传或本地文件包含（Local File Inclusion，LFI）的方式导致反映跨站点脚本（Reflected Cross-Site Scripting，XSS）和远程代码执行（RCE）攻击。

攻击者可以通过诱使 WordPress 管理员点击特制链接或附件来在其浏览器中执行恶意代码，从而利用这些安全漏洞。

一旦成功利用了这两个漏洞之后，漏洞可以使黑客设置恶意重定向、注入垃圾邮件、滥用受感染的网站进行网络钓鱼，甚至完全接管这些网站。

Wordfence 的研究员 Ram Gall 表示：“一旦攻击者在网站上实现了远程代码执行，他们就已经有效地接管了该网站。”

超过 53 万个站点仍受到攻击

Wordfence 的研究员 Ram Gall补充道：“我们在发现漏洞后就与插件的发行商 Imagely 取得了联系，并于 2020 年 12 月 15 日提供了全部详情。Imagely 于 16 日就将补丁发送给我们进行审核，并于 17 日发布了 3.5.0 版本推送了该补丁。”

虽然 NextGEN Gallery 的补丁于 12 月就已经发布了，但根据 WordPress 插件库的原始下载统计信息，截止至 2 月份也只有 26 万多次下载，其中包括更新和全新安装。

这就意味着如果攻击者开始利用这两个漏洞，仍然有超过 53 万个安装了旧版本的 NextGEN Gallery 的网站可能会遭受接管攻击。

微信关注我们

原文链接：https://www.oschina.net/news/129819/critical-vulnerability-fixed-in-wordpress-plugin

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Open Policy Agent —— 通用策略引擎

Open Policy Agent（开放政策代理，OPA）是一个开源的、通用的策略引擎，它支持跨整个堆栈执行统一的、上下文感知的策略。该项目于 2018 年 4 月进入 CNCF 沙箱，一年后进入孵化阶段。来自大约 30 个组织的 90 多名人员为 OPA 贡献力量，维护者来自四个组织，包括谷歌、微软、VMware 和 Styra。 OPA 提供了一种高级声明性语言来在整个堆栈中编写和实施策略。使用 OPA，你可以定义 rules来管理你的系统应该如何运作。这些 rules 的存在是为了回答以下问题：用户 X 可以调用资源 Z 上的操作 Y 吗？应将工作负载 W 部署到哪些群集？在创建资源 R之前，必须在资源 R 上设置哪些标签？你将服务与 OPA 集成，这样这些政策决定就不必在你的服务中硬编码。服务与 OPA 的集成是通过在需要政策决定时执行查询来实现的。当你向 OPA 查询策略决策时，OPA 会评估 rules和 data（由你提供）以得出答案。该策略决策作为查询结果发送回去。例如，在一个简单的 API 授权用例中：你编写允许（或拒绝）访问服务 API 的规则。 ...

2021-02-09

992

AnyChart是基于JavaScript (HTML5) 的图表控件。使用AnyChart控件，可创建跨浏览器和跨平台的交互式图表和仪表。AnyChart 图表目前已被很多知名大公司所使用，可用于仪表盘、报表、数据分析、统计学、金融等领域。点击下载AnyChart正式版角规，也称为圆规，是一种带有径向刻度的量规图。这样的可视化可以很好地显示一个范围内的值，并广泛用于各种仪表板中。疫苗的最新好消息在我们耳边听起来像是音乐。因此，我想为什么不将一些有趣的音乐数据用于本教程中的可视化！第63届年度格莱美奖颁奖典礼将于2021年3月举行，当我浏览年度唱片提名人名单时，我想知道这些歌曲的流行程度。为了找出答案，我决定在世界领先的音乐流媒体平台之一Spotify上查看其流媒体的数量，并认为Solid Angular Gauge在这种视觉分析中可以很好地工作。它也类似于黑胶唱片，这使得它成为表示此类数据时特别有趣的图表类型！因此，在本教程中，我将在 JS Angular Gauge图表中可视化Spotify流计数的每一首2021 GRAMMYs年度提名歌曲。那将很有趣！扰流板：待开发的角...

2021-02-09

657

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。