2025年Q1最受黑客攻击的四大WordPress漏洞曝光
根据最新的Patchstack报告，2025年第一季度，黑客最频繁利用的四个WordPress插件漏洞均为2024年发现并修复的安全缺陷。然而，由于许多网站仍未及时打补丁，这些漏洞依然成为攻击者执行任意代码和窃取敏感数据的入口。其中，CVE-2024-27956（WordPress Automatic Plugin）涉及SQL注入，黑客可通过CSV导出功能中的auth POST参数执行恶意SQL查询；CVE-2024-4345（Startklar Elementor Addons）因缺少文件类型校验，允许未经身份验证的攻击者上传可执行文件并接管网站；CVE-2024-25600（Bricks主题）可利用REST API中的bricks/v1/render_element路由执行PHP代码，导致远程代码执行（RCE）；CVE-2024-8353（GiveWP插件）则因不安全的反序列化漏洞，可能导致整个网站被黑客完全控制。尽管Patchstack等安全服务已拦截大量攻击，但由于许多网站未启用有效的安全防护，这些漏洞仍存在广泛的被利用风险。管理员应及时更新插件和主题，并采取多因素认证等安全措施，降低网站遭受攻击的可能性。
来源：BleepingComputer
根据最新的Patchstack报告，2025年第一季度，黑客最频繁利用的四个WordPress插件漏洞均为2024年发现并修复的安全缺陷。然而，由于许多网站仍未及时打补丁，这些漏洞依然成为攻击者执行任意代码和窃取敏感数据的入口。其中，CVE-2024-27956（WordPress Automatic Plugin）涉及SQL注入，黑客可通过CSV导出功能中的auth POST参数执行恶意SQL查询；CVE-2024-4345（Startklar Elementor Addons）因缺少文件类型校验，允许未经身份验证的攻击者上传可执行文件并接管网站；CVE-2024-25600（Bricks主题）可利用REST API中的bricks/v1/render_element路由执行PHP代码，导致远程代码执行（RCE）；CVE-2024-8353（GiveWP插件）则因不安全的反序列化漏洞，可能导致整个网站被黑客完全控制。尽管Patchstack等安全服务已拦截大量攻击，但由于许多网站未启用有效的安全防护，这些漏洞仍存在广泛的被利用风险。管理员应及时更新插件和主题，并采取多因素认证等安全措施，降低网站遭受攻击的可能性。
来源：BleepingComputer
