WordPress Royal Elementor 插件出現高危漏洞，正被利用

據報道，攻擊者正在積極利用影響 Royal Elementor 插件和模板（最高版本為 1.3.78）的嚴重漏洞。

由于該漏洞是在供應商發布補丁之前發現的，因此該漏洞被黑客用作零日漏洞。

“WP Royal”的 Royal Elementor 插件和模板是一個網站構建工具包，無需編碼知識即可快速創建 Web 元素。據 WordPress.org 稱，它的活躍安裝量超過 200,000 次。

影響該附加組件的缺陷被追蹤為 CVE-2023-5360（CVSS v3.1：9.8“嚴重”），允許未經身份驗證的攻擊者在易受攻擊的網站上執行任意文件上傳。

盡管該插件具有擴展驗證功能，可將上傳限制為僅允許特定的文件類型，但未經身份驗證的用戶可以操縱“允許列表”來繞過清理和檢查。

攻擊者可能通過此文件上傳步驟實現遠程代碼執行，從而導致網站完全受損。

有關該缺陷的其他技術細節已被隱瞞，以防止廣泛利用。

用于創建惡意管理員帳戶

兩家 WordPress 安全公司 Wordfence 和 WPScan (Automattic) 自 2023 年 8 月 30 日起已將 CVE-2023-5360 標記為被積極利用，攻擊量從 2023 年 10 月 3 日開始不斷增加。

Wordfence 報告稱，過去一個月已攔截了超過 46,000 起針對 Royal Elementor 的攻擊，而 WPScan 則記錄了 889 起攻擊者利用該缺陷后投放 10 個不同有效負載的案例。

上傳文件（有效負載）的哈希值 (WPScan)

這些攻擊中使用的大多數有效負載都是 PHP 腳本，它們試圖創建名為“wordpress_administrator”的 WordPress 管理員用戶或充當后門。

惡意 PHP 創建流氓管理員用戶 (Wordfence)

WordPress 表示，大多數攻擊僅源自兩個 IP 地址，因此該漏洞可能只有少數黑客知道。

我們于 10 月 3 日聯系了該附加組件的供應商，提供了完整的詳細信息，并于 2023 年 10 月 6 日發布了 Royal Elementor 附加組件和模板版本 1.3.79，以修復該缺陷。建議該附加組件的所有用戶盡快升級到該版本。

請注意，將附加組件更新到版本 1.3.79 不會自動刪除感染或刪除惡意文件，因此在這種情況下需要進行網站清理。