WordPress 插件被植入后门

WordPress 插件被植入后门 在一次供应链攻击中，安装在多达 3.6 万个 WordPress 网站上的插件被植入了后门。受影响的扩展包括：Social Warfare（安装量三万），BLAZE Retail Widget（10）、Wrapper Link Elementor（一千）、Contact Form 7 Multi-Step Addon（七百）、Simply Show Hooks（四千），这些扩展都托管在官网 WordPress.org 上，过去一周未知攻击者在更新中加入了恶意功能，能自动创建管理权限账号，允许攻击者完全控制相关网站。安全公司 Wordfence 的研究人员称，恶意后门的植入最早发生在 6 月 21 日。任何安装了这些插件的人都应该立即卸载，并检查是否有最近创建的管理员账号。 via Solidot

WordPress 第三方“用户登录系统”插件曝零日提权漏洞，20 万网站受影响

WordPress 第三方“用户登录系统”插件曝零日提权漏洞，20 万网站受影响 Ultimate Member 是 WordPess 博客平台中一款相当受欢迎的“用户登录系统”插件。安全公司 Wordfence 目前曝出该插件存在零日漏洞，黑客可将自己的账号提权为管理员，进而控制接管网站。 据悉，该插件存在编号为 CVE-2023-3460 的重大漏洞，风险评分为 9.8，黑客可利用该漏洞，绕过此插件内置的各项安全措施，修改账号的 wp_capabilities 配置数据，以将黑客的账号设置为管理员角色，进而控制受害网站。 插件开发者在 6 月 26 日发布 Ultimate Member 2.6.3 版本进行了该漏洞进行了部分修复，此后在 7 月 1 日发布了 2.6.7 版本，完全修复了该漏洞。 来源：

在WordPress营销插件OptinMonster中发现了一个关键漏洞，该插件用于创建订阅表单。该插件非常受欢迎 它已经被安

在WordPress营销插件OptinMonster中发现了一个关键漏洞，该插件用于创建订阅表单。该插件非常受欢迎 它已经被安装在100多万个网站上。 这都是由于API端点实现得不好。特别有问题的是 /wp-json/omapp/v1/support：很多数据可以通过它被提取出来，包括API密钥。然后，入侵者就可以注入任意的JavaScript代码，改变插件设置，设置恶意的重定向，还可以做许多其他讨厌的事。而且不需要认证 这很容易被绕过。 技术细节见下面WordFencе报告。 发现该漏洞的研究人员建议该插件完全重新设计API。幸运的是，开发商也有同样的看法，所以他们会在未来几周内解决这个问题。现在，最好是将该插件更新到安全版本，并生成新的API密钥，以防万一。 #ThreatIntelligence #Security

Windows 11 高危漏洞被公开

Windows 11 高危漏洞被公开 近日，有黑客在 GitHub 上上传了 Windows 11 目前高危漏洞的利用方案，并表示由于微软的漏洞赏金大幅缩水，他决定直接公开漏洞。该漏洞可以通过恶意程序，快速让他人获得系统管理员权限。Windows 10 与 Windows Server 2022 亦受此漏洞波及。 少数派

【CertiK：微软高危零日漏洞可执行任意代码，建议用户使用硬件钱包】

【CertiK：微软高危零日漏洞可执行任意代码，建议用户使用硬件钱包】 CertiK安全团队发现，近日，微软Office中一个被称为 "Follina "的零日漏洞（编号CVE-2022-30190）被发现。攻击者可使用微软的微软支持诊断工具（MSDT），从远程URL检索并执行恶意代码。微软Office的系列套件和使用MSDT的产品目前仍有可能受该零日漏洞的影响。 由于该漏洞允许攻击者绕过密码保护，通过这种方式，黑客能够查看并获得受害者的系统和个人信息。这个零日漏洞允许黑客进一步攻击，提升黑客在受害者系统里的权限，并获得对本地系统和运行进程的额外访问，包括目标用户的互联网浏览器和浏览器插件，如Metamask。CertiK安全团队建议，正确保护你的设备和个人信息。

多款已停止支持的 D-Link NAS 设备被曝高危漏洞

多款已停止支持的 D-Link NAS 设备被曝高危漏洞 该漏洞追踪编号为 CVE-2024-3273，主要串联通过“system”参数的命令注入问题，以及针对硬编码账户（用户名：“messagebus”和空密码）的后门，可以在设备上执行远程攻击命令。