安全是有分量的

免备案高防cdn_云防护是什么意思网站打不开_快速解决

2022-06-28 16:00栏目:防护

免备案高防cdn_云防护是什么意思网站打不开_快速解决

Ninja Forms是一款安装超过100万次的WordPress插件,其开发人员已修复了一个严重程度很高的安全漏洞,该漏洞可让攻击者注入恶意代码,并使用插件的未修补版本接管网站

该漏洞是一个跨站点请求伪造(CSRF)漏洞,可导致存储的跨站点脚本(存储的XSS)攻击,并影响3.4.24.2之前的所有忍者表单版本。

攻击者可以通过诱骗WordPress管理员点击特制的链接,将恶意JavaScript代码作为新导入的联系人表单的一部分,从而利用忍者表单漏洞进行攻击。

Ninja Forms是一个表单生成器插件,允许WordPress用户在基于拖放的编辑器的帮助下在几分钟内创建复杂表单。

正如Wordfence QA工程师Ram Gall今天发表的研究报告所详述的,局域网ddos攻击防御,攻击者可以滥用插件的功能,将目标网站上的所有现有表单替换为恶意表单。

为此,,威胁参与者可以滥用插件"遗留"添加的ninja_forms_ajax_import_form ajax函数"模式,允许还原到旧版本中可用的样式和功能。

此功能不检查请求是否来自合法用户,因此,多服务器防御ddos,在他们单击特制的链接并导入包含恶意JavaScript代码的表单后,可以使用管理员会话欺骗请求。

所有存在"受攻击站点上的g表单在操作formID$\u POST参数后也可以被恶意表单替换。

Gall解释道:"根据JavaScript在导入表单中的位置,每当受害者访问包含表单的页面、管理员访问插件的导入/导出页面或管理员试图编辑表单的任何字段时,都可以在受害者的浏览器中执行JavaScript。""与跨站点脚本(XSS)攻击一样,在管理员浏览器中执行的恶意脚本可用于添加新的管理帐户,怎么使用ddos防御,从而导致站点完全接管,而在访问者浏览器中执行的恶意脚本可用于将访问者重定向到恶意站点。"

4月27日,Ninja Forms的开发者Saturday Drive by Wordfence发现并负责地报告了该漏洞,并在首次披露报告后不到一天内发布了版本3.4.24.2的安全修复程序。

Wordfence对该安全问题的CVSS评分为8.8,高防cdn为什么那么贵,这使其成为一个严重性很高的漏洞,这将提示所有Ninja Forms用户立即将插件更新到版本3.4.24.2,抗ddos防御,该版本将对其进行全面修补。

然而,尽管及时发布的安全修补程序在近三天内可用,但在所有100万用户中,只有170000多一点的用户在上周将其安装更新为最后一个无漏洞版本。

本周早些时候,Real-Time Find and Replace插件的用户也被敦促对其安装进行修补,以利用4月22日发现的类似CSRF安全漏洞阻止攻击者创建流氓管理员帐户。

与本例一样,尽管该插件有超过100000名用户,但只有少数用户在几个小时内安装了提供的安全修复程序。