行業新聞與博客

安全研究人員發現了一系列影響 WordPress 廣泛使用的 WPLMS 和 VibeBP 插件的嚴重漏洞。

這些插件是 WPLMS 高級 LMS 主題的重要組成部分，該主題的銷量超過 28,000 份。它們主要用於創建在線課程、管理學生和銷售教育內容。

這些漏洞現已得到修補，但會帶來重大風險，包括未經授權的文件上傳、權限提升和 SQL 注入攻擊。

已發現嚴重漏洞

PatchStack 發現的最嚴重的漏洞包括任意文件上傳，包括 CVE-2024-56046，它允許攻擊者上傳惡意文件，可能導致遠程代碼執行 (RCE)。

包括 CVE-2024-56043 在內的權限提升漏洞可使未經身份驗證和低權限用户將其角色提升為管理員，從而存在完全接管網站的風險。還發現了 SQL 注入漏洞，例如 CVE-2024-56042，可通過惡意查詢泄露敏感數據庫信息。

這些漏洞存在於各種功能中，包括註冊表單和 REST API 端點。 

研究人員總共報告了 18 個漏洞，其中幾個被認為是嚴重漏洞。

WPLMS 和 VibeBP 更新發布 

為了解決這些問題，開發人員發佈了 WPLMS（版本 1.9.9.5.3）和 VibeBP（版本 1.9.9.7.7）的更新。 

開發人員通過引入更嚴格的控制和安全檢查來解決這些漏洞。

對於任意文件上傳漏洞，他們限制了可上傳文件類型，添加了權限檢查，並在某些情況下刪除了易受攻擊的代碼。通過在註冊期間強制執行角色限制並對允許的選項實施白名單，可以緩解權限提升問題。為了應對 SQL 注入風險，他們應用了適當的輸入轉義並保護了受影響的變量和代碼。

敦促用户立即應用這些補丁來保護他們的網站。

為了防止類似的漏洞，鼓勵開發人員實施以下安全措施：

• 通過檢查文件名和類型來限制文件上傳

• 使用角色允許列表進行註冊流程和默認角色

• 轉義 SQL 查詢中的所有用户輸入並支持準備好的語句