關鍵的WordPress REST API錯誤：防止你的博客被黑客攻擊
Wordpress REST API中存在嚴重的漏洞，這將導致兩個新漏洞的產生：遠程權限升級和內容注入漏洞。
Wordpress是世界上最流行的內容管理系統(CMS)，在數百萬個網站上使用。CMS最近在WordPress 4.7.0上默認添加并啟用了REST API。
該漏洞允許未經授權的黑客將訪問者重定向到惡意攻擊
該漏洞很容易被攻擊，并影響Wordpress內容管理系統（CMS）的4.7和4.7.1版本，允許未經驗證的攻擊者修改未修補網站上的所有頁面，并將訪問者重定向到惡意攻擊和大量攻擊。
Sucuri的Marc Alexandre Montpas發現了該漏洞，并將其報告給WordPress安全團隊。該團隊發布了一個補丁，處理得非常好，但沒有披露該漏洞的詳細信息，以便在數百萬網站實施補丁之前阻止黑客利用該漏洞。
蒙帕斯在一篇博客文章中寫道：“這個權限提升漏洞會影響WordPress REST API”。“其中一個REST端點允許訪問（通過API）以查看、編輯、刪除和創建帖子。在這個特定端點中，一個微妙的錯誤允許訪問者編輯網站上的任何帖子”。
WordPress為何延遲漏洞披露
該問題于1月22日被發現，并于1月26日進行了修補，并在4.7.2版中提供給使用流行CMS的網站。
Sucuri安全提供商和主機與Wordpress安全團隊密切合作，安裝了一周多的補丁，確保問題在公開之前得到迅速解決。
該公司還向包括SiteLock、Cloudflare和Incapsula在內的安全公司通風報信，時間間隔為9天。
以下是Wordpress核心撰稿人亞倫·坎貝爾（Aaron Campbell）對漏洞披露延遲的看法：“我們認為透明度符合公眾的最佳利益……[而且]……在這種情況下，我們故意推遲一周披露該問題，以確保數百萬其他WordPress網站的安全”。“來自所有四個WAF和WordPress主機的數據均未顯示該漏洞已在野外被利用。因此，我們決定推遲披露這一特定問題，以便有時間運行自動更新，并確保在問題公開之前盡可能多的用戶得到保護”。
現在修補你的CMS！
該漏洞被評為嚴重漏洞，盡管在補丁發布后的幾個小時內，修復程序已自動部署到數百萬WordPress安裝上。
有關該漏洞的更多技術性解釋，請訪問Sucuri的官方博客。
強烈建議還沒有執行過針對這個嚴重漏洞補丁的WordPress管理員更新他們的CMS到WordPress 4.7.2版本。
