WordPress 迁移插件存在漏洞，或引发大规模数据泄露
我要评论Bleeping Computer 网站披露 ，移插拥有 500 万安装用户的漏洞 WordPress 网站数据迁移插件 All-in-One WP Migration 存在未经身份验证的访问令牌操作漏洞，攻击者可借此访问网站敏感的或引数据信息 。
漏洞被追踪为 CVE-2023-40004 ，规模允许未经身份验证的数据“用户”访问和操纵受影响扩展上的建站模板令牌配置，使网络攻击者将网站迁移数据转移到自身的泄露第三方云服务账户或恢复恶意备份 ，一旦成功利用 CVE-2023-40004 ，移插导致包括用户详细信息、漏洞关键网站数据和专有信息等数据信息泄露 。或引
All-in-One WP Migration 是规模一款流行的源码下载 WordPress 网站迁移工具 ，适用于非技术和经验不足的数据用户 ，允许将数据库 、泄露媒体 、移插插件和主题无缝导出到一个易于在新目的漏洞地恢复的单个存档中。服务器租用
Patchstack 表示插件供应商 ServMask 提供的或引各种高级扩展都包含相同的易受攻击代码片段 ，这些代码片段在 init 函数中缺乏权限和 nonce 验证。（该代码还存在于 Box 扩展 、Google Drive 扩展 、One Drive 扩展和 Dropbox 扩展中 ，这些扩展都是免费模板为了方便使用上述第三方平台的数据迁移过程而创建。）
好消息是，由于 All-in-One WP Migration 只在网站迁移项目中使用，通常不会在其它任何时候激活 ，因此在一定程度上缓解了漏洞带来的安全问题。高防服务器
供应商已发布漏洞安全更新2023 年 7 月 18 日 ，PatchStack 研究员拉菲-穆罕默德（Rafie Muhammad）发现了 CVE-2023-40004 漏洞 ，随后便报告给了 ServMask 。2023 年 7 月 26 日 ，供应商 ServMask 发布了安全更新 ，为 init 函数引入了权限和非 nonce 验证 。
已应用的补丁（Patchstack）
建议受影响的源码库第三方扩展用户升级到以下修复版本：
Box 扩展 ：v1.54Google Drive 扩展 ：v2.80OneDrive 扩展 ：v1.67Dropbox 扩展 ：v3.76此外，研究人员还建议用户使用最新版本的（免费）基础插件 All-in-One WP Migration v7.78 。
文章来源 ：https://www.bleepingcomputer.com/news/security/wordpress-migration-add-on-flaw-could-lead-to-data-breaches/
相关文章
就应用程序和操作系统的新漏洞和漏洞利用技术而言，2024年第二季度可谓是多事之秋。通过易受攻击的驱动程序进行攻击已成为操作系统中权限提升的一种通用手段。这种攻击值得注意的地方在于，漏洞不一定是最新的，2025-12-07
数字时代正在迎来一个技术进步的新时代，对数据处理和存储的需求前所未有。在这个快速发展的环境中，数据中心作为互联世界的神经中枢发挥着关键作用。为了满足超大规模企业、企业和数字服务不断增长的需求，数据中心2025-12-07
随着世界变得越来越数字化，对数据中心的需求不断增长。随着这种增长，我们有责任减少这些设施对环境的影响。数据中心消耗大量能源，导致温室气体排放和地球资源紧张。因此，人们越来越关注开发绿色数据中心技术，以2025-12-07
英特尔重磅发布至强 6 能效核处理器， 加速数据中心能效升级
2024年6月6日，北京——今日，以“绿色向新，释放新质生产力”为主题的英特尔®至强® 6能效核处理器新品发布会在北京举行。会上，英特尔重磅推出首款配备能效核的英特尔至强6处理器产品代号Sierra2025-12-07
Gartner安全运营成熟度曲线：XDR、SOAR 泡沫破裂；EDR、SIEM 进入生产成熟期
日前，Gartner 发布了最新的安全运营成熟度曲线报告Gartner Hype Cycle for Security Operations, 2024），报告将与安全运营相关的 23 项热点技术按照2025-12-07
什么是数据中心现代化?数据中心现代化包括更新和改进数据中心，以满足当前和下一代工作负载的要求。数据中心现代化包括升级数据中心，使其成为现代工作负载的有价值和有效的工具。其目标是帮助提高效率、敏捷性、安2025-12-07
最新评论