关键的WordPress REST API错误：防止你的博客被黑客攻击

Wordpress REST API中存在严重的漏洞，这将导致两个新漏洞的产生：远程权限升级和内容注入漏洞。

Wordpress是世界上最流行的内容管理系统(CMS)，在数百万个网站上使用。CMS最近在WordPress 4.7.0上默认添加并启用了REST API。

该漏洞允许未经授权的黑客将访问者重定向到恶意攻击

该漏洞很容易被攻击，并影响Wordpress内容管理系统（CMS）的4.7和4.7.1版本，允许未经验证的攻击者修改未修补网站上的所有页面，并将访问者重定向到恶意攻击和大量攻击。

Sucuri的Marc Alexandre Montpas发现了该漏洞，并将其报告给WordPress安全团队。该团队发布了一个补丁，处理得非常好，但没有披露该漏洞的详细信息，以便在数百万网站实施补丁之前阻止黑客利用该漏洞。

蒙帕斯在一篇博客文章中写道：“这个权限提升漏洞会影响WordPress REST API”。“其中一个REST端点允许访问（通过API）以查看、编辑、删除和创建帖子。在这个特定端点中，一个微妙的错误允许访问者编辑网站上的任何帖子”。

WordPress为何延迟漏洞披露

该问题于1月22日被发现，并于1月26日进行了修补，并在4.7.2版中提供给使用流行CMS的网站。

Sucuri安全提供商和主机与Wordpress安全团队密切合作，安装了一周多的补丁，确保问题在公开之前得到迅速解决。

该公司还向包括SiteLock、Cloudflare和Incapsula在内的安全公司通风报信，时间间隔为9天。
以下是Wordpress核心撰稿人亚伦·坎贝尔（Aaron Campbell）对漏洞披露延迟的看法：

“我们认为透明度符合公众的最佳利益……[而且]……在这种情况下，我们故意推迟一周披露该问题，以确保数百万其他WordPress网站的安全”。

“来自所有四个WAF和WordPress主机的数据均未显示该漏洞已在野外被利用。因此，我们决定推迟披露这一特定问题，以便有时间运行自动更新，并确保在问题公开之前尽可能多的用户得到保护”。

现在修补你的CMS！

该漏洞被评为严重漏洞，尽管在补丁发布后的几个小时内，修复程序已自动部署到数百万WordPress安装上。

有关该漏洞的更多技术性解释，请访问Sucuri的官方博客。

 

强烈建议还没有执行过针对这个严重漏洞补丁的WordPress管理员更新他们的CMS到WordPress 4.7.2版本。