行業新聞與博客

在允許定製 WooCommerce 產品的 Fancy Product Designer 高級插件中發現了兩個重大安全漏洞。最新版本 6.4.3 中仍未修復這些問題，影響了使用該插件的 WordPress 網站。

該插件由 Radykal 開發，銷量超過 20,000 件，可實現廣泛的產品定製。然而，Patchstack 研究人員去年發現了兩個嚴重漏洞——未經身份驗證的任意文件上傳漏洞 (CVE-2024-51919) 和未經身份驗證的 SQL 注入漏洞 (CVE-2024-51818)。

漏洞詳情

未經身份驗證的任意文件上傳漏洞允許未經身份驗證的用户上傳任意文件，包括 PHP 文件，這可能導致遠程代碼執行 (RCE)。該漏洞源自 save_remote_file 和 fpd_admin_copy_file 函數，這兩個函數未能充分驗證用户輸入，從而允許文件上傳不受適當限制。

未經身份驗證的 SQL 注入漏洞允許未經授權的用户直接在 WordPress 數據庫上執行 SQL 查詢。該問題源於 get_products_sql_attrs 函數，該函數沒有充分清理輸入，而是依賴於 strip_tags 函數，而該函數對 SQL 注入風險無效。

據報道，Patchstack 研究人員於 2024 年 3 月 18 日聯繫了該供應商，但尚未收到回覆。這些漏洞於 2025 年 1 月 8 日公開披露。

安全建議

建議使用 Fancy Product Designer 插件的網站管理員立即停用或刪除該插件，直到發佈安全補丁為止。

安全專家建議開發人員採取以下做法來防止類似問題：

• 徹底驗證所有文件上傳，檢查文件名和擴展名

• 對允許的文件類型使用白名單

• 實現 SQL 查詢的準備好的語句

• 正確清理並轉義所有用户輸入

主動進行定期代碼審核也可以顯著降低 WordPress 插件中的漏洞風險。