绿盟科技互联网安全威胁周报NSFOCUS-2019-29

绿盟科技

截止到2019年7月19日，绿盟科技漏洞库已收录总条目达到43741条。本周新增漏洞记录31条，其中高危漏洞数量18条，中危漏洞数量13条，低危漏洞数量1条。WordPress 4.9.9之前版本和5.0.1之前的5.x版本中存在远程代码执行漏洞，该漏洞源于an _wp_attached_file Post Meta 条目可更改为任意字符串。 阅读全文 “绿盟科技互联网安全威胁周报NSFOCUS-2019-29” »

【技术分析】WordPress ≤ 4.9.6任意文件删除漏洞

邓永凯

2018年6月28日，国外安全研究组织rips团队发布了一篇WordPress任意文件删除到代码执行的漏洞文章，文章中指出攻击者可以利用此漏洞删除任意文件，比如删除WordPress建站配置文件wp-config.php，通过删除此文件可导致界面进入网站安装页面，通过重装网站后进入管理员后台即可获取网站shell从而控制WordPress网站，故该漏洞的危害很大。唯一缺陷就是需要攻击者拥有操作多媒体文件的功能，一般作者权限就可以触发漏洞。

阅读全文 “【技术分析】WordPress ≤ 4.9.6任意文件删除漏洞” »

【预警通告】WordPress 存储型XSS漏洞 威胁预警通告

绿盟科技

近日，WordPress 官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞，通过该漏洞，攻击者可以在受影响网站的评论区写下包含恶意代码的留言，当该留言页面被打开时，其中的恶意代码会执行，导致该网站的权限，插件等被更改，甚至被完全控制。

阅读全文 “【预警通告】WordPress 存储型XSS漏洞 威胁预警通告” »