↑ 点击上方“安全狗”关注我们
近日，国外安全研究人员在大量攻击数据中发现了一个WordPress plugins Social Warfare远程代码执行漏洞。该漏洞位于social-warfarelibutilitiesSWP_Database_Migration.php文件中的eval()函数，该函数能够运行攻击者在“swp_url”GET参数中定义的PHP代码。此漏洞允许攻击者接管整个WordPress站点并管理您的主机帐户上的所有文件和数据库，从而实现完全远程接管整个服务器的目的。
安全狗针对该漏洞目前已经启动应急响应，我们针对当前掌握的信息发布一定的应急处置措施，同时正在进行进一步的研究分析，我们将尽快发布详尽的结果。
WordPress Social Warfare Plugin 远程代码执行漏洞影响Social Warfare Plugin 3.5.3以前的版本，其用户数量极为庞大。
该漏洞位于social-warfarelibutilitiesSWP_Database_Migration.php文件中的eval()函数，该函数能够运行攻击者在“swp_url”GET参数中定义的PHP代码。此漏洞允许攻击者接管整个WordPress站点并管理您的主机帐户上的所有文件和数据库，从而实现完全远程接管整个服务器的目的。
WordPress是使用PHP语言开发的CMS系统，是网络上最受欢迎的CMS之一，也是一款个人博客系统。根据w3tech的资料显示，约有30％的网站在使用它，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站或者使用自己的博客。
Social Warfare Plugin是WordPress的一款流行社交分享插件，在WordPress站点上的安装量已达70000以上，该插件在WordPress社交分享类插件中也独占鳌头，用户可以利用该插件获得更多的社交分享，同时也可以利用该插件获得更多的网站流量。该插件是由一群专业的社交媒体营销专家和世界级开发人员开发而出的。
据统计，在全球范围内对互联网开放Wordpress网站的资产数量多达12833569台，其中归属中国地区的受影响WordPress资产数量为18万以上，该插件安装量达7万多站点。
目前受影响的Social Warfare Plugin版本：
Social Warfare Plugin < 3.5.3
Wordpress官方插件库已经更新了该插件版本，该插件的用户可以更新至该插件的最新版本：
https://wordpress.org/plugins/social-warfare/advanced/
往期精彩文章：
【云安全】再获公安部权威认证！安全狗获颁云计算产品信息安全和CSA CSTR双证书
【企业动态】“云舟”共济，安全狗推出了这个前景无限的合作伙伴计划
【企业动态】再获国家级资质！安全狗被授予CNNVD技术组支撑单位奖牌
【企业动态】“凭云鼓浪·论道安全”云安全高峰论坛圆满结束，精彩内容先睹为快！
【解决方案】安全狗发布explorer一键挖矿病毒专项清除方案
【企业动态】2018中国网络安全年会：安全狗CEO陈奋深度解读EDR
【企业动态】青岛公安致谢安全狗:上合峰会网络安保这场硬仗，打得漂亮！
原文始发于微信公众号（安全狗）：【安全预警】WordPress Social Warfare Plugin 远程代码执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论