WordPress网站插件曝出漏洞
导语：KingComposer，一个发现安装了超过100,000次的WordPress网站插件。
KingComposer，一个发现安装了超过100,000次的WordPress网站插件，很容易受到Reflected Cross-Site Scripting的影响。
Wordfence安全团队使用KingComposer拖放页面构建插件发现了该漏洞。
攻击者可以利用此漏洞诱使受害者单击恶意链接，该恶意链接会将受害者与有效负载一起发送到易受攻击的网站。
漏洞编号为CVE-2020-15299，CVSS评分：6.1。2.9.5之前的版本受此漏洞影响。
该漏洞存在于不再被使用的AJAX操作中，“但是仍然可以通过向wp admin/admin发送POST请求来使用，操作参数设置为kc_install_online_preset。”
可以在恶意负载上使用base64编码来利用此漏洞，并诱使受害者通过kc-online-preset-data参数发送请求，从而允许恶意负载在受害者浏览器上执行。
Wordfence威胁情报于2020年6月15日检测到该漏洞，并由插件开发人员在2020年6月29日修复了此漏洞。
建议用户使用该插件的最新版本进行更新，以缓解该漏洞。
发表评论
提供云计算服务