WordPress 迁移插件中的漏洞导致网站遭受攻击

All-in-One WP Migration 插件的多个扩展中存在漏洞，可能会使 WordPress 网站遭受攻击，从而导致敏感信息泄露。

All-in-One WP Migration 拥有超过 500 万次安装，由 ServMask 维护，是一款非常流行的移动网站插件，还提供了多个用于迁移到第三方平台的高级扩展。

周三，WordPress 安全公司 Patchstack分享了影响 All-in-One WP Migration’s Box、Google Drive、OneDrive 和 Dropbox 扩展的漏洞的详细信息，该漏洞可能允许攻击者访问敏感信息。

该错误被跟踪为 CVE-2023-40004，并被描述为未经身份验证的访问令牌操纵问题，可能允许未经身份验证的攻击者篡改受影响扩展的访问令牌配置。

“这种访问令牌操纵可能会导致潜在的敏感信息泄露，迁移到攻击者控制的第三方帐户或恢复恶意备份，”Patchstack 说。

该缺陷是在受影响扩展的init函数中发现的，该函数“挂接到 WordPress 的admin_init钩子”，攻击者可以在无需身份验证的情况下触发该钩子。

“由于 init 函数没有权限和随机数验证，未经身份验证的用户能够修改或删除每个受影响的扩展上使用的访问令牌，”Patchstack 解释道。

7 月 18 日，WordPress 安全公司向 ServMask 报告了该漏洞，该漏洞通过“在 init 函数上添加权限和随机数验证”来修补所有受影响扩展中的错误。

建议用户更新到7月底发布的All-in-One WP Migration的Box扩展版本1.54、Google Drive扩展版本2.80、OneDrive扩展版本1.67和Dropbox扩展版本3.76。