按 Enter 到主內容區
:::

TWCERT/CC台灣電腦網路危機處理暨協調中心

:::

Facebook 官方 WordPress 擴充套件修復兩個嚴重漏洞

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2021-03-31
  • 點閱次數:2201
Facebook官方WordPress擴充套件修復兩個嚴重漏洞 TWCERT/CC

資安廠商發現 Facebook 官方推出的 Facebook for WordPress 擴充套件,存有兩個可讓駭侵者遠端執行任意程式碼的嚴重漏洞,使用該套件的用戶應立即更新。

專攻 WordPress 資安領域的資安廠商 Wordfence,日前發表研究報告指出, Facebook 官方推出的 Facebook for WordPress 擴充套件,存有兩個可讓駭侵者遠端執行任意程式碼的嚴重漏洞;這兩個漏洞都已在新版 Facebook for WordPress 中修復,使用該擴充套件的用戶,應立即更新至最新版本。

Facebook for WordPress 是由 Facebook 官方推出的 WordPress 擴充套件,可讓 WordPress 架站管理者在其 WordPress 部落格中放置 Facebook Pixel 追蹤像素,用以追蹤訪客在網站上的使用足跡,除了可提供管理者更精確的網站統計報告外,也能讓 Facebook 藉以遞送精準廣告。據估計,超過 50 萬個 WordPress 網站,都安裝了 Facebook for WordPress 擴充套件。

據 Wordfence 的報告指出,這兩個漏洞,有一個是利用 POP Chain 植入PHP 物件的漏洞,駭侵者可以利用這個漏洞,在用戶 WordPress 的安裝主目錄中新增一個含有任意惡意程式碼的檔案,並可遠端執行。

第一個漏洞的 CVSS 危險程度評分高達 9.0 分,屬於嚴重(Critital)等級;目前暫無 CVE 編號。

第二個漏洞則是屬於跨站連線要求偽造(cross-site request forgery, CSRF);駭侵者可透過這個漏洞,發送偽造的連線要求,改寫受害者的設定值,將受害者安裝的 Facebook for WordPress 像素追蹤資料改為發送到攻擊者端,這樣便能竊取受害 WordPress 網站的流量統計資訊;駭侵者甚至還能進一步注入惡意 JavaScript,遠端執行任意程式碼。

這個漏洞的 CVSS危險程度評分高達 8.8 分,屬於高危險(High)等級;目前暫無 CVE 編號。

這兩個漏洞均已在近期推出的 Facebook for WordPress 3.0.4 中修復;有安裝此擴充套件的用戶,均應立即更新到 3.0.4 以上版本,以降低網站被駭的風險。

  • 影響產品:Facebook for WordPress 2.2.2 或先前版本(PHP 物件注入漏洞);3.0.0-3.0.3(CSRF 漏洞)
  • 解決方案:升級到 3.0.4 或之後的版本
回頁首