黑客正在利用 OneTone 主题在 WordPress 网站上创建后门帐户

Sucuri 专家说,黑客一直在使用 XSS 错误在 OneTone 主题设置中插入恶意代码。由于主题在任何页面加载之前都会检查这些设置,因此代码会在易受攻击的站点的每个页面上触发。

OneTone 是 Magee WP 开发的一种流行但现已弃用的 WordPress 主题,有免费和付费版本,该漏洞是是跨站点脚本(XSS)漏洞,XSS 漏洞使攻击者可以将恶意代码注入主题设置中。该漏洞是由 NinTechNe t 的 Jerome Bruandet 于去年 9 月发现的,并已报告给主题作者和 WordPress 团队。

自 2018 年以来未收到任何更新的 Magee WP 修复程序。在 Magee 无法修复补丁之后,WordPress 团队在一个月后的 2019 年 10 月从官方 WordPress 存储库中删除了该主题的免费版本。

根据 GoDaddy 旗下的网络安全公司 Sucuri 的报告,攻击者于本月初开始利用此漏洞。

Sucuri 专家说,黑客一直在使用 XSS 错误在 OneTone 主题设置中插入恶意代码。由于主题在任何页面加载之前都会检查这些设置,因此代码会在易受攻击的站点的每个页面上触发。

可悲的是,它似乎永远无法获得修复。尽管去年得到了通知,但该公司未在两周前回应 Sucuri 的置评请求,也未回应 ZDNet 上周发送的类似电子邮件。

针对 OneTone 网站的攻击仍在继续。两周前,Sucuri 报告说,超过 20,000 个 WordPress 网站正在运行 OneTone 主题。

如今,由于网站所有者开始根据当前的黑客攻击开始迁移到其他主题,该数字已降至 16,000 以下。

来源:solidot.org

人已赞赏
服务动态运维日志

开始借助 CDN 实现防盗链和恶意请求的屏蔽和拦截

2020-4-16 9:47:53

运维日志

LNMP 一键安装包 V1.7 正式版发布

2020-6-2 13:37:31

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索