关键的WordPress插件漏洞导致超400万网站暴露
💡
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
Wordfence安全研究员发现，WordPress的Really Simple Security插件存在CVE-2024-10924认证绕过漏洞，攻击者可远程获取管理权限，影响超过400万个网站。该漏洞已在9.1.2版本中修复。
🎯
关键要点
- Wordfence安全研究员发现WordPress的Really Simple Security插件存在CVE-2024-10924认证绕过漏洞。
- 该漏洞允许攻击者远程获取易受攻击网站的完全管理权限，影响超过400万个网站。
- 漏洞的CVSS评分为9.8，存在于9.0.0至9.1.1.1版本中。
- 漏洞源于'check_login_and_get_user'函数中的不正确用户检查，导致双因素认证不够安全。
- 攻击者可以通过简单请求在双因素认证启用时访问任何用户账户，包括管理员账户。
- 成功利用该漏洞可能导致网站被恶意行为者劫持，用于犯罪目的。
- 该漏洞在2024年11月6日披露，并在一周后发布的9.1.2版本中修复。
- Wordfence还披露了WPLMS学习管理系统中的另一个关键缺陷CVE-2024-10470，影响4.963之前的版本。
❓
延伸问答
CVE-2024-10924漏洞的影响是什么？
该漏洞允许攻击者远程获取超过400万个WordPress网站的完全管理权限。
如何修复Really Simple Security插件的漏洞？
该漏洞已在9.1.2版本中修复，用户应及时更新插件。
CVE-2024-10924漏洞的CVSS评分是多少？
该漏洞的CVSS评分为9.8，属于高危漏洞。
漏洞是如何被发现的？
Wordfence安全研究员发现了该漏洞，并于2024年11月6日披露。
该漏洞的根本原因是什么？
漏洞源于'check_login_and_get_user'函数中的不正确用户检查，导致双因素认证不够安全。
利用该漏洞可能导致什么后果？
成功利用该漏洞可能导致网站被恶意行为者劫持，用于犯罪目的。
➡️
