SeedProd 修正了已安裝超過 900,000 次的 Website Builder 中的一個主要漏洞。 此漏洞存在於 6.15.21 及之前的版本中，會帶來 WordPress 網站上未經授權的資料修改的風險。
漏洞詳細資訊：缺少能力檢查
發現的漏洞稱為「seedprod_lite_new_lpage」函數內缺少功能檢查。
能力是使用者或角色可以執行的特定操作。 功能檢查是 WordPress 中用於管理權限和存取控制的重要安全功能。 它們確定使用者是否有權執行特定操作。
與角色檢查類似，角色檢查驗證使用者的角色（如管理員、編輯者等），而能力檢查驗證使用者是否具有特定權限。 與角色檢查相比，能力檢查提供了對權限更精細的控制。
缺少的功能檢查允許未經身份驗證的攻擊者潛在地修改使用該外掛程式創建的各種頁面的內容，例如附近頁面或維護頁面。 缺乏此安全功能會使網站面臨資料操縱風險。
未經授權的資料修改
未經授權的資料修改是一個嚴重的安全問題。 它是由於未經授權的人可以更改資料而導致潛在漏洞的故障引起的。 強烈建議在 Website Builder 插件中解決此類漏洞。
嚴重性和影響：高風險暴露
此漏洞的評級為 8.2（從 1 到 10），根據通用漏洞評分系統 (CVSS)，嚴重性評級為「高」。 高評級表示潛在影響的嚴重程度。
此漏洞非常新，目前國家漏洞資料庫中沒有指定 CVE 編號 CVE-2024-1072 的條目。
然而，Wordfence WordPress 安全研究人員強調了 SeedProd 網站建立器漏洞的嚴重性：
“這使得未經身份驗證的攻擊者可以更改使用該插件配置的即將發布的內容、維護頁面、登錄和 404 頁面。”
給網站建立器插件使用者的建議
SeedProd’s Website Builder 的發行商已發布更新版本 6.15.22 來修復此漏洞。 該更新包括一個用於降低風險的安全性金鑰，鼓勵插件用戶立即更新以保護其網站免受攻擊。
關於隨機數，WordPress 解釋了它是什麼：
隨機數字是“使用一次的數字”，有助於保護 URL 和表單免受某些類型的濫用、惡意或其他形式的濫用。
….它們有助於防止各種類型的攻擊…”
閱讀 Wordfence 公告：
SeedProd 網站產生器 – 主題產生器、登陸頁面產生器、頁面即將推出、維護模式 <= 6.15.21 - 缺少透過 seedprod_lite_new_lpag 的授權
閱讀官方 SeedProd 變更日誌
精選圖片由 Shutterstock/Nikulina Tatiana 提供
