“WordPress SEO by Yoast”插件漏洞影响数百万人
相关标签： # 数据库# 编辑器# 漏洞# 数据# 黑客
该漏洞实际上存在于WordPress插件的大多数版本中，称为'Yoast的WordPress搜索引擎优化根据Yoast网站的数据，它的下载量超过1400万次，这使它成为WordPress最流行的插件之一，可以方便地为搜索引擎优化网站，即搜索引擎优化（SEO）。
Yoast在WordPress SEO中的漏洞已被瑞安·德赫斯特WordPress漏洞扫描程序的开发者WPSCAN'.
1.7.3.3版本之前的所有版本都是易受盲目SQL注入的影响根据今天发布的一条建议，web应用程序存在缺陷。
SQL注入（SQLi）漏洞被列为关键漏洞，因为它可能导致数据库漏洞并导致机密信息泄漏。基本上，在SQLi攻击中，攻击者通过客户端输入将格式错误的SQL查询插入到应用程序中。
YOAST漏洞的工作原理
然而，在这种情况下，外部黑客本身无法触发该漏洞，因为该漏洞实际上存在于管理员/类批量编辑器列表表。php'文件，只有WordPress管理员、编辑或作者特权用户才能访问该文件。
因此，为了成功利用此漏洞，需要仅从授权用户触发攻击。这可以通过社会工程的帮助实现，攻击者可以诱骗授权用户点击精心编制的有效负载可利用的URL。
Ryan向安全博客作者Graham Cluley解释说，如果授权WordPress用户成为攻击的受害者，这可能会允许攻击者在受害者WordPress网站上执行任意SQL查询。
瑞安还发布了一份概念验证有效载荷“WordPress SEO by Yoast”中的盲SQL注入漏洞，如下所示：
https://victim-wordpress-website.com/wp-admin/admin.php?page=wpseo_bulk-编辑及；类型=标题和；orderby=post_date%2c（从%20中选择%20*%20）（选择（睡眠（10））a）&；订单=asc
YOAST SQLi漏洞修补程序
然而，据报道，Yoast WordPress插件开发者在最新版本的WordPress SEO中（1.7.4）修补了该漏洞，变更日志提到最新版本修复了bulk editor中可能存在的CSRF和盲SQL注入漏洞。"
一般来说，人们认为，如果你没有安装WordPress Yoast进行SEO，那么你的WordPress网站就严重不完整。对于希望通过使用此插件增加搜索引擎流量的网站所有者来说，该漏洞非常严重。
因此，建议禁用自动更新功能的WordPress管理员尽快通过Yoast插件升级WordPress SEO，或者从WordPress插件库手动下载最新版本。
如果您已经安装了WordPress 3.7及以上版本，那么您可以从中完全自动更新插件和主题管理>；插件&；主题>；自动更新标签。
如果您已经安装了WordPress 3.7及以上版本，那么您可以从中完全自动更新插件和主题管理>；插件&；主题>；自动更新标签。
特别声明：以上内容（图片及文字）均为互联网收集或者用户上传发布，本站仅提供信息存储服务！如有侵权或有涉及法律问题请联系我们。
举报
