金旺棋牌

          <dfn id='3csvj'><optgroup id='3csvj'></optgroup></dfn><tfoot id='3csvj'><bdo id='3csvj'><div id='3csvj'></div><i id='3csvj'><dt id='3csvj'></dt></i></bdo></tfoot>

          <ul id='3csvj'></ul>

          • <small id='1w3v8'></small><noframes id='1w3v8'>

          • <tfoot id='1w3v8'></tfoot>

              <legend id='1w3v8'><style id='1w3v8'><dir id='1w3v8'><q id='1w3v8'></q></dir></style></legend>
              <i id='1w3v8'><tr id='1w3v8'><dt id='1w3v8'><q id='1w3v8'><span id='1w3v8'><b id='1w3v8'><form id='1w3v8'><ins id='1w3v8'></ins><ul id='1w3v8'></ul><sub id='1w3v8'></sub></form><legend id='1w3v8'></legend><bdo id='1w3v8'><pre id='1w3v8'><center id='1w3v8'></center></pre></bdo></b><th id='1w3v8'></th></span></q></dt></tr></i><div id='1w3v8'><tfoot id='1w3v8'></tfoot><dl id='1w3v8'><fieldset id='1w3v8'></fieldset></dl></div>

                  <bdo id='1w3v8'></bdo><ul id='1w3v8'></ul>

                  1. <li id='1w3v8'><abbr id='1w3v8'></abbr></li>
                      <dir id='8mh5o'><del id='8mh5o'><del id='8mh5o'></del><pre id='8mh5o'><pre id='8mh5o'><option id='8mh5o'><address id='8mh5o'></address><bdo id='8mh5o'><tr id='8mh5o'><acronym id='8mh5o'><pre id='8mh5o'></pre></acronym><div id='8mh5o'></div></tr></bdo></option></pre><small id='8mh5o'><address id='8mh5o'><u id='8mh5o'><legend id='8mh5o'><option id='8mh5o'><abbr id='8mh5o'></abbr><li id='8mh5o'><pre id='8mh5o'></pre></li></option></legend><select id='8mh5o'></select></u></address></small></pre></del><sup id='8mh5o'></sup><blockquote id='8mh5o'><dt id='8mh5o'></dt></blockquote><blockquote id='8mh5o'></blockquote></dir><tt id='8mh5o'></tt><u id='8mh5o'><tt id='8mh5o'><form id='8mh5o'></form></tt><td id='8mh5o'><dt id='8mh5o'></dt></td></u>
                    1. <code id='8mh5o'><i id='8mh5o'><q id='8mh5o'><legend id='8mh5o'><pre id='8mh5o'><style id='8mh5o'><acronym id='8mh5o'><i id='8mh5o'><form id='8mh5o'><option id='8mh5o'><center id='8mh5o'></center></option></form></i></acronym></style><tt id='8mh5o'></tt></pre></legend></q></i></code><center id='8mh5o'></center>

                        <dd id='8mh5o'></dd>

                          <style id='8mh5o'></style><sub id='8mh5o'><dfn id='8mh5o'><abbr id='8mh5o'><big id='8mh5o'><bdo id='8mh5o'></bdo></big></abbr></dfn></sub>
                          <dir id='8mh5o'></dir>
                        1. 行业动态

                          防御吧作为15年知名老牌域名服务商,CNNIC和CANN双认证域名注册商,已经
                          持续为500多万个域名提供服务,包括智能DNS/自由转移/隐私保护等服务!
                          将近200,000个站点上安装了不安全的WordPress插件
                          2019-02-19 10:27:42 【

                          适用于WordPress的ThemeGrill演示导入程序的开发人员已更新了该插件,以删除一个严重错误,该错误为未经身份验证的用户提供了管理员特权。

                          在以管理员身份登录的过程中,攻击者还将站点的整个数据库还原为默认状态。

                          最活跃的版本易受攻击

                          该组件可用于轻松导入ThemeGrill主题演示内容,小部件和设置,该组件存在于200,000多个WordPress网站上。易受攻击的版本在其中大多数上运行。

                          该错误存在于ThemeGrill Demo Importer插件1.3.4到1.6.1的版本中。根据官方WordPress插件存储库的统计数据,最流行的活动版本是1.4到1.6,占当前安装的98%以上。

                          擦除易受攻击的站点的数据库需要由ThemeGrill开发的主题处于活动状态。由于安装了插件,因此有可能来自开发人员的主题处于活动状态。

                          快速自动登录的管理员帐户也有一个前提条件,这是一个用户的删除的数据库称为存在“管理员”,注意  从研究者WebARX,网络安全公司,提供漏洞检测和虚拟补丁软件,以保持网站避免第三方组件中的错误。

                          “一旦插件检测到已安装并激活了ThemeGrill主题,它将加载文件/includes/class-demo-importer.php,该文件将reset_wizard_actions挂接到第44行的admin_init中。”

                          研究人员解释说,“ admin_init”钩子在管理环境中运行,并且还调用不需要经过身份验证的用户的“ /wp-admin/admin-ajax.php”。

                          缺乏身份验证才使开发成为可能。如果数据库中存在“ admin”用户,未经身份验证的攻击者可能会使用此帐户登录,并删除所有以已定义的数据库前缀开头的WordPress表。

                          “一旦删除了所有表,它将使用默认设置和数据填充数据库,然后将“ admin”用户的密码设置为其先前已知的密码。”

                          WebARX研究人员于2月6日发现了该漏洞,并于同日将其报告给开发人员。10天后,在周日,ThemeGrill发布了修复该错误的新版本。

                          在撰写本文时,修补后的插件的下载数量约为23,000,这表明使用ThemeGrill Demo Importer的大量站点可能仍处于危险中。

                          1月中旬,针对WordPress Database Reset报告了两个漏洞,当利用这些漏洞时,它们均取得了相同的结果。WordPressDatabase Reset是一个专门为管理员提供的简便方法,可将管理员重置为默认值。

                          其中一个CVE-2020-7048允许未经身份验证的用户从任何数据库中重置表,而另一个跟踪为CVE-2020-7047的用户则以最小的权限授予了管理员特权。

                          】【打印关闭】 【返回顶部
                          分享到QQ空间
                          分享到: 
                          上一篇WordPress插件中的零日漏洞可用于.. 下一篇Windows,Linux设备因未签名的外..

                          立足首都,辐射全球,防御吧专注云防御及云计算服务15年!

                          联系我们

                          联系地址:北京市朝阳区望京湖光中街一号鹏景阁大厦10层
                          服务热线: ,
                          企业QQ:4000043998
                          技术支持:
                          E-Mail:
                          Copyright ? 2003-2016 fangyuba. 防御吧(完美解决防御与加速) 版权所有 增值许可:京B2-20140042号
                          售前咨询
                          公司总机:4000043998 01056155355
                          24小时电话:
                          投诉电话:
                          值班售后/技术支持
                          售后服务/财务
                          备案专员
                          紧急电话:

                          快乐牛牛终极版下载---首页_欢迎您 老友漳州棋牌官方下载 单机斗地主下载到手机---首页_欢迎您 快乐牛牛终极版app下载-Welcome 星力手机捕鱼游戏---首页_欢迎您