WordPress File Manager插件高危漏洞风险提示

  • A+
所属分类:安全漏洞
WordPress File Manager插件高危漏洞风险提示


漏洞公告

近日,安恒应急响应中心监测到WordPress File Manager Plugin官网发布了File Manager插件的安全补丁更新公告,相关链接:

https://filemanagerpro.io/file-manager-plugin-security-release/



根据公告,免费版的File Manager 6.0到6.8版本,Pro版的File Manager Pro 7.6到7版本存在任意文件上传漏洞,恶意攻击者利用该插件漏洞可能进行任意文件上传攻击,并进一步调用代码执行,在WordPress File Manager论坛中已有多个用户反馈因为安装该插件而受到黑客攻击,相关链接:

https://wordpress.org/support/plugin/wp-file-manager/


建议安装有该插件的用户尽快更新到漏洞修复的版本。



影响范围



File Manager Plugin任意文件上传漏洞主要影响以下版本:

免费版受影响版本:V6.0-V6.8,建议更新到V6.9以上版本

Pro版受影响版本:V7.6-V7.0,建议更新到V8.0以上版本


版本更新参考:

https://filemanagerpro.io/article/how-to-download-latest-version-of-file-manager-pro/

1、通过访问WordPress仪表盘,选择插件,然后找到插件下方的“立即更新”即可

2、通过访问File Manager官网中“我的账户”,在信息中心下找到“许可和下载”从此处下载最新版本即可


通过安恒研究院SUMAP平台对全球部署的WordPress资产进行统计,最新查询分布情况如下:

全球分布:

WordPress File Manager插件高危漏洞风险提示


国内分布:

WordPress File Manager插件高危漏洞风险提示



漏洞描述



WordPress File Manager Plugin任意文件上传漏洞,根据分析,漏洞主要因为File Manager插件中的elFinder库的调用未进行严格访问控制触发,导致可以被直接利用,由于elFinder库有跨目录限制,如果使用了该插件可优先排查以下目录是否存在可疑内容:/wp-content/plugins/wp-file-manager/lib/files


该漏洞危害较大,安恒应急响应中心已验证漏洞的可利用性,建议尽快测试安全更新补丁,并及时更新。



缓解措施



紧急:目前漏洞利用案例已经出现(官网已有用户反映安装了该插件的网站被黑),虽然漏洞细节和利用代码暂未公开,但可以通过补丁对比方式定位漏洞触发点并进一步开发出漏洞利用代码,建议及时测试更新补丁,并做好数据备份。






安恒应急响应中心

2020年9月

WordPress File Manager插件高危漏洞风险提示

注:本文由E安全编译报道,转载请注原文地址 

https://www.easyaq.com

推荐阅读:


▼点击“阅读原文” 查看更多精彩内容


WordPress File Manager插件高危漏洞风险提示

喜欢记得打赏小E哦!



发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: