Woo电子商务网站提供的10个WordPress插件存在漏洞，这些插件均由同一家公司Multidots为WOO网站提供。因开发者尚未发布补丁程序，而Woo网站的插件被许多高流量网站使用，所以WordPress禁用了危险插件。以下是危险插件的信息：
- WooCommerce Category Banner Management (Active installations: 3,000+) – Unauthenticated Settings Change
- Add Social Share Messenger Buttons Whatsapp and Viber (Active installations: 500+) – Cross-site Request Forgery (CSRF)
- Advance Search for WooCommerce (Active installations: 200+) – Stored Cross-site scripting (XSS)
- Eu Cookie Notice (Active installations: 600+) – Cross-site request forgery (CSRF)
- Mass Pages/Posts Creator (Active installations: 1,000+) – Authenticated Stored Cross-Site scripting (XSS)
- Page Visit Counter (Active installations: 10,000+) – SQL Injection
- WooCommerce Checkout For Digital Goods (Active installations: 2,000) – Cross-site request forgery (CSRF)
- WooCommerce Enhanced Ecommerce Analytics Integration with Conversion Tracking (Active installations: 1,000+) – Cross-site request forgery (CSRF) and Stored Cross-site scripting (XSS)
- WooCommerce Product Attachment (Active installations: 800+) – Authenticated stored Cross-site scripting (XSS)
- Woo Quick Reports (Active installations: 300+) – Stored Cross-Site Scripting (XSS)
据ThreatPress报道，安全研究员在10个插件中发现的漏洞类型五花八门。受影响的插件可通过WordPress.org获得，它们允许Woo商城用户管理其在线商店。据统计，易受攻击的插件有将近20,000次主动安装，其中包括10,000次页面访问计数器安装，3,000次WooCommerce类别横幅管理安装以及2,000次数字商品WooCommerce Checkout安装。
经过安全专家研究后发现，Multidots制作的插件受存储的跨站脚本（XSS）、跨站点请求伪造（CSRF）和SQL注入漏洞的影响，这些漏洞可以被用于全方位控制已安装插件的电子商务网站。攻击者可能会破坏网站，执行远程shell，植入键盘记录器，并上传加密货币挖掘程序或其他类型的恶意软件。
考虑到受影响的网站是收集个人和财务信息的在线商店，攻击者或许能够获得富含价值的信息。这些漏洞允许未经身份验证的攻击者注入恶意JavaScript，从而为劫持客户的信用卡数据并接收客户和管理员登录提供机会。虽然大多数危险情境的实现需要安装插件者访问特质的URL或者页面，但仍有一些漏洞带来的缺陷能在没有任何交互的情况下被利用。
Multidots 5月8日知晓后对存在的问题进行了确认，而后却再无动作。所幸WordPress了解后决定禁用大部分受影响的插件。在ThreatPress公开发布调查结果之前，他们曾与Multidots联系征求意见，但该公司没有回应。
CVE标识符已分配给其中四个漏洞，仍有6个漏洞还没有得到标识符。目前为止，分配的标识符有CVE-2018-11579，CVE-2018-11580，CVE-2018-11633和CVE-2018-11632。
当前每个漏洞的技术细节和概念验证(PoC)代码已被披露。专家表示：“很高兴WordPress的安全反应速度这么快，但我们仍然有一个大问题——难以告知所有用户这些插件的威胁。奇怪的是WordPress能显示可用更新的信息，却不能通过同样的方式提供关于封闭插件的信息以提供保护。我们希望看到这一领域的一些变化。希望在这种情况下，我们可以通知受影响网站的所有者，并保护近2万个网站。”
声明：本文来自黑客视界，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
