Redux Framework外掛釋出安全漏洞補丁

Wordfence釋出了兩個影響Redux Framework外掛使用者的漏洞，該外掛最近在WordPress.org上被稱為“古騰堡模板庫和Redux框架”。Extendify於2020年11月從其建立者Dōvy Paukstys那裡購買了該外掛，這筆交易並未得到高度宣傳。它目前活躍在超過100萬個WordPress網站上。

在其大部分歷史中，Redux一直被稱為主題和外掛的流行框架。2020年，Paukstys重新啟動了該框架，重點是Gutenberg模板。使用者現在可以從區塊編輯器內部瀏覽1,000多個模板。

正是這個新的模板瀏覽功能在Wordfence最近的安全報告中被發現存在漏洞，原因是該外掛用於處理其模板庫中的請求的WP REST API端點上的許可權檢查不嚴。2021年8月3日，Wordfence向外掛所有者披露了一個被描述為“不正確的授權導致任意外掛安裝和刪除後”的高嚴重性漏洞和一個低嚴重性的“未經身份驗證的敏感資訊洩露”漏洞。本週釋出的報告描述了威脅的性質：

一個漏洞允許具有較低許可權的使用者（例如貢獻者）安裝和啟用任意外掛，並通過REST API刪除任何文章或頁面。第二個漏洞允許未經身份驗證的攻擊者訪問有關站點配置的潛在敏感資訊。

Extendify立即做出迴應，並於2021年8月11日釋出了Redux Framework的修補版本 ( 4.2.13)。在釋出時，超過71%的使用Redux Framework外掛的站點執行在仍然存在漏洞的舊版本上。建議使用者更新到最新版本以獲得安全補丁，尤其是現在Wordfence已經發表了一篇文章，展示了攻擊者如何潛在地利用這些漏洞。