近日，科技新聞界傳來警報，知名博客平臺WordPress上的RealHome主題與Easy Real Estate插件被發(fā)現(xiàn)存在高危安全漏洞，這一消息由bleepingcomputer網站率先披露。據(jù)稱，這些漏洞能夠讓未經授權的用戶輕易獲取管理員權限，進而對網站進行惡意操作，目前已有數(shù)萬網站面臨潛在威脅。
尤為令人不安的是，自2024年9月起，漏洞的發(fā)現(xiàn)者Patchstack曾多次嘗試聯(lián)系主題的開發(fā)者InspiryThemes，但遺憾的是，至今未收到任何回復，漏洞問題也未得到修復。這一拖延無疑加劇了網站安全的風險。
關于RealHome主題的漏洞（CVE-2024-32444），其嚴重性不容小覷，CVSS評分高達9.8。該漏洞源于inspiry_ajax_register函數(shù)在處理新賬戶注冊時，未執(zhí)行充分的授權檢查與隨機數(shù)驗證。這意味著，攻擊者有機會在注冊請求中將自己的角色設定為“管理員”，從而繞過安全機制，全面接管WordPress網站。一旦得手，他們便可隨意篡改內容、植入惡意腳本，甚至訪問用戶的敏感數(shù)據(jù)。據(jù)統(tǒng)計，Envato Market上的數(shù)據(jù)顯示，RealHome主題已被應用于32600個網站，這些網站均處于風險之中。
而Easy Real Estate插件的漏洞（CVE-2024-32555）同樣不容忽視，其CVSS評分同樣高達9.8。該漏洞涉及插件的社交登錄功能，存在一個顯著缺陷：允許用戶僅憑郵箱地址登錄，無需驗證郵箱地址的真實歸屬。這意味著，只要攻擊者掌握了管理員的郵箱地址，便能無需密碼直接登錄，并獲得管理員權限。這一漏洞的潛在后果與RealHome主題的漏洞相似，均可能導致網站遭受嚴重的安全損害。
鑒于InspiryThemes尚未發(fā)布任何補丁來修復這些漏洞，對于那些正在使用RealHome主題或Easy Real Estate插件的網站所有者和管理員來說，形勢尤為緊迫。他們被強烈建議立即禁用這些存在漏洞的主題和插件，以避免遭受潛在的攻擊。由于漏洞信息已經公開，攻擊者很可能正在積極尋找并掃描易受攻擊的網站，因此迅速采取緩解措施至關重要。
為了進一步增強網站的安全性，網站所有者和管理員還應考慮采取額外的安全措施，如定期更新WordPress及其所有插件和主題、使用強密碼、啟用雙因素身份驗證等。這些措施將有助于降低遭受攻擊的風險，保護網站和用戶數(shù)據(jù)的安全。
面對如此嚴峻的安全挑戰(zhàn)，網站安全意識的提升顯得尤為重要。所有網站所有者和管理員都應時刻保持警惕，密切關注與自身網站相關的安全信息，以便在第一時間發(fā)現(xiàn)并應對潛在的安全威脅。只有這樣，才能確保網站的安全穩(wěn)定運行，保障用戶的利益不受損害。
