【安全资讯】数百万WordPress网站安全插件漏洞导致管理员权限泄露

概要：

近日，WordPress插件‘Really Simple Security’（前称‘Really Simple SSL’）被发现存在严重的身份验证绕过漏洞，影响了全球数百万网站的安全。此漏洞允许远程攻击者获得受影响网站的完全管理权限，给用户和企业带来了巨大的风险。

主要内容：

该漏洞被标识为CVE-2024-10924，由Wordfence的研究员István Márton于2024年11月6日发现。漏洞源于插件在处理用户身份验证时的缺陷，尤其是在其两因素认证（2FA）REST API操作中。具体而言，问题出在‘check_login_and_get_user()’函数，该函数在验证用户身份时未能正确处理‘login_nonce’参数。当‘login_nonce’无效时，系统并未拒绝请求，而是错误地调用了‘authenticate_and_redirect()’，仅依据‘user_id’进行身份验证，从而实现了身份验证绕过。

这一漏洞的严重性在于，即使在启用两因素认证的情况下，攻击者也能轻易利用该缺陷进行大规模攻击。Wordfence警告称，攻击者可以使用自动化脚本批量利用此漏洞，可能导致大规模的网站接管事件。该插件的开发者已在2024年11月12日和14日分别为Pro版和免费版发布了修复补丁，确保代码能够正确处理‘login_nonce’验证失败的情况。

尽管开发者与WordPress.org协调进行了强制安全更新，但网站管理员仍需检查并确保其运行最新版本（9.1.2）。截至目前，约有450,000个免费版插件的下载量显示，仍有350万个网站可能暴露在此漏洞之下，亟需采取措施以保护其安全。