最近，WordPress上最受欢迎的一个插件被发现了一个严重的安全漏洞，结果导致上千万个网站面临被黑客攻击的风险。
这个漏洞是由瑞恩·迪赫斯特（Ryan Dewhurst），一个WordPress漏洞扫描工具的开发者，发现的。这个插件叫“WordPress SEO by Yoast”，专门用于优化网站在搜索引擎上的表现，下载量已经超过1400万。而所有1.7.3.3及更早版本的用户都可能遭受SQL盲注攻击。
漏洞藏在
admin/class-bulk-editor-list-table.php这个文件里，只有管理员、编辑和作者这些有权限的用户才能访问。因此，黑客需要通过一些社会工程手段，让这些用户点击特定的链接，才能触发这个漏洞。之后，攻击者就能在受害者的网站上执行SQL查询代码。
瑞恩还发布了一段利用这个漏洞的SQL盲注概念验证代码：
http://victim-wordpress-website.com/wp-admin/admin.php?page=wpseo_bulk-editor&type=title&orderby=post_date%2c(select%20*%20from%20(select(sleep(10)))a)&order=asc
插件的开发者在自己的博客上表示，已经在最新的1.7.4版本中修复了这个问题。因此，建议所有WordPress网站的管理员赶紧把插件更新到最新版本。如果你的WordPress版本在3.7及以上，可以按照以下路径进行自动更新：
Manage > Plugins & Themes > Auto Updates
声明：
文章来自网络收集后经过ai改写发布，如不小心侵犯了您的权益，请联系本站删除，给您带来困扰，深表歉意！
