WordPress 插件被植入后门

WordPress 插件被植入后门 在一次供应链攻击中，安装在多达 3.6 万个 WordPress 网站上的插件被植入了后门。受影响的扩展包括：Social Warfare（安装量三万），BLAZE Retail Widget（10）、Wrapper Link Elementor（一千）、Contact Form 7 Multi-Step Addon（七百）、Simply Show Hooks（四千），这些扩展都托管在官网 WordPress.org 上，过去一周未知攻击者在更新中加入了恶意功能，能自动创建管理权限账号，允许攻击者完全控制相关网站。安全公司 Wordfence 的研究人员称，恶意后门的植入最早发生在 6 月 21 日。任何安装了这些插件的人都应该立即卸载，并检查是否有最近创建的管理员账号。 via Solidot

【Atomic Wallet最大受害者损失350万美元，前五大受害者共损失970万美元】

【Atomic Wallet最大受害者损失350万美元，前五大受害者共损失970万美元】 ZachXBT发推称，最新数据显示，加密钱包Atomic Wallet黑客攻击事件中最大的受害者个人损失350万美元（1897 ETH）。前五大受害者损失总计970万美元。 金色财经此前报道，根据ZachXBT统计的数据，比特币、ETH、Tron、BSC、ADA、Ripple、Polkadot、Cosmos、Algo、Avax、XLM、LTC和Doge链上被盗资金已经超过1400万美元。估计至少有2000万美元被盗。

WordPress 第三方“用户登录系统”插件曝零日提权漏洞，20 万网站受影响

WordPress 第三方“用户登录系统”插件曝零日提权漏洞，20 万网站受影响 Ultimate Member 是 WordPess 博客平台中一款相当受欢迎的“用户登录系统”插件。安全公司 Wordfence 目前曝出该插件存在零日漏洞，黑客可将自己的账号提权为管理员，进而控制接管网站。 据悉，该插件存在编号为 CVE-2023-3460 的重大漏洞，风险评分为 9.8，黑客可利用该漏洞，绕过此插件内置的各项安全措施，修改账号的 wp_capabilities 配置数据，以将黑客的账号设置为管理员角色，进而控制受害网站。 插件开发者在 6 月 26 日发布 Ultimate Member 2.6.3 版本进行了该漏洞进行了部分修复，此后在 7 月 1 日发布了 2.6.7 版本，完全修复了该漏洞。 来源：

谨防受骗阿联酋超过50%的居民是钓鱼网站受害者，近20%成为社交媒体诈骗目标

谨防受骗阿联酋超过50%的居民是钓鱼网站受害者，近20%成为社交媒体诈骗目标 阿联酋网络安全委员会透露，2023年第三季度，54%的人成为钓鱼网站的受害者，19%的人成为社交媒体诈骗的目标，56%的企业和公司遭遇数据泄露。 根据该委员会在社交媒体上发布的一篇文章显示，骗子主要是通过钓鱼网站、电子邮件、社交媒体诈骗和即时信息骗局进行的。数据显示，19%的个人成为社交媒体诈骗的目标，而37%的公司实体成为其受害者。

WordPress 拥抱分布式网络，网站所有者可与 Fediverse 整合，更容易使用包括 Mastodon 在内的平台

WordPress 拥抱分布式网络，网站所有者可与 Fediverse 整合，更容易使用包括 Mastodon 在内的平台 网站现在有了一种更容易与Fediverse整合的方式，包括Mastodon。Automattic是、Tumblr和其他网络发布工具背后的公司，据Automattic首席执行官Matt Mullenweg称，该公司是ActivityPub for WordPress插件的新主人，还招募了其开发者来为该公司工作。 新收购的这个插件允许和的博客所有者在联合平台上接触读者，比如Twitter的竞争对手Mastodon和其他平台。一旦安装，读者就能在他们喜欢的联合平台上关注WordPress博客，查看博文并回复评论。发布到Mastodon等联合网站上的回复就会成为博文的评论。 开发者一直在努力改善该插件的WordPress集成，并增加对同步评论的支持。 目前，ActivityPub插件支持的联合平台包括Mastodon、Pleroma、Friendica、HubZilla、Pixelfed、SocialHome和Misskey。根据它的统计页面，到目前为止，它已经被下载了超过35000次。

WordPress用户注意了，如果你们用的是miniOrange的恶意软件扫描器和网络应用防火墙插件，现在有个紧急情况。发现了一

WordPress用户注意了，如果你们用的是miniOrange的恶意软件扫描器和网络应用防火墙插件，现在有个紧急情况。发现了一个严重的安全漏洞，所以建议大家赶紧从自己的网站上删掉这些插件。 这个漏洞被追踪编号为CVE-2024-2172，在CVSS评分系统中的评分高达9.8分，满分是10分。它影响到以下两个插件的这些版本 - •(versions <= 4.7.2) •(versions <= 2.1.1) 值得注意的是，自2024年3月7日起，这些插件已被维护人员永久关闭。Wordfence上周报告说：“这个漏洞使得未经认证的攻击者可以通过更新用户密码来为自己授予管理员权限。” 这个问题是由于函数mo_wpns_init()中缺少一个权限检查造成的，这使得未经认证的攻击者能够随意更新任何用户的密码，并将他们的权限提升到管理员级别，这可能导致网站被完全攻破。 Wordfence表示，一旦攻击者获得了WordPress网站的管理员权限，他们就可以像正常的管理员一样操控目标网站上的任何内容。 这包括上传插件和主题文件的能力，这些文件可能是包含后门的恶意zip文件，以及修改文章和页面的能力，这可以被利用来将网站用户重定向到其他恶意网站或注入垃圾内容。 标签: #WordPress #网络安全 频道: @GodlyNews1 投稿: @GodlyNewsBot