大多數 WordPress 漏洞（約 67% 是在 2023 年發現的）被視為中等漏洞。 由於它們是最常見的，因此了解它們是什麼以及它們何時構成真正的安全威脅是有意義的。 以下是您應該了解的有關此類漏洞的事實。
什麼是中等漏洞？
Automattic 旗下的 WordPress 安全掃描公司 WPScan 的發言人解釋說，他們使用通用漏洞評分系統（CVSS 分數）來評估威脅的嚴重程度。 評級基於 1-10 編號系統以及低、中、高和關鍵評級。
WPScan 發言人解釋：
「我們不會將等級標記為通過的機會，而是根據FIRST 的CVSS 框架來標記漏洞的嚴重性。一般來說，中等嚴重性分數意味著該漏洞很難被利用（例如，需要高權限的SQL注入）帳戶）或攻擊者不會從成功的攻擊中獲得太多收益（例如，未經身份驗證的用戶可以獲得私人部落格文章的內容）。
我們通常不會看到它們在大規模攻擊中使用得那麼多，因為它們不如更嚴重的漏洞有用，而且更難自動化。 但是，它們在更具體的攻擊中可能很有用，例如，當特權使用者帳戶已洩露或攻擊者知道某些私人內容包含對他們有用的敏感資訊時。
我們始終建議盡快更新易受攻擊的擴充功能。 但是，如果嚴重性為中等，則執行此操作的緊迫性較低，因為該網站不太可能成為大規模自動攻擊的受害者。
未經訓練的使用者可能會發現該報告有點難以理解。 我們已盡力使其盡可能適合所有觀眾，但我明白，不可能在不使其變得太無聊或太長的情況下覆蓋所有人。 所報告的漏洞也會發生同樣的情況。 例如，使用該通道的使用者需要對其網站的配置有基本的了解，以考慮哪些漏洞需要立即關注以及哪些漏洞可以由 WAF 處理。
例如，如果用戶知道他們的網站不允許用戶訂閱它。 所有 Subscriber+ 漏洞報告，無論嚴重程度如何，都需要重新考慮。 假設用戶不斷查看網站的用戶群。
對於貢獻者+報告甚至管理員級別也是如此。 如果該人維護著一個小型 WordPress 網站網絡，那麼 admin+ 漏洞對他們來說很有趣，因為其中一個網站的管理員受到攻擊可以用來攻擊超級管理員。
貢獻者層級的漏洞
許多中等嚴重程度的漏洞需要貢獻者層級的存取權限。 貢獻者是一種存取角色，使註冊用戶能夠編寫和提交內容，儘管他們通常沒有發佈內容的能力。
大多數網站不必擔心需要貢獻者等級身份驗證的安全威脅，因為大多數網站不提供此級別的存取權限。
Chloe Chamberland – Wordfence 的威脅情報主管解釋說，大多數網站所有者不應擔心需要貢獻者等級存取權限才能利用的中等嚴重性漏洞，因為大多數 WordPress 網站不提供此級別的權限。 他還指出，這些類型的漏洞很難擴展，因為利用它們很難自動化。
克洛伊解釋道：
「對於大多數網站所有者來說，他們不必擔心需要貢獻者級別及以上訪問權限才能利用的漏洞。這是因為大多數網站不允許在貢獻者層級進行日誌記錄，並且大多數網站上沒有貢獻者他們的網站。
此外，大多數 WordPress 攻擊都是自動化的，並尋求易於利用的高價值回報，因此大多數 WordPress 威脅參與者不太可能瞄準此類漏洞。
網站發布者應關注的問題
Chloe 也表示，提供貢獻者等級權限的發布商可能有幾個理由擔心這些類型的漏洞：
「當網站所有者允許貢獻者等級註冊、貢獻者的密碼較弱，或者該網站安裝了另一個外掛程式/主題，該外掛程式存在允許以某種方式進行貢獻者等級存取的漏洞時，就會出現需要貢獻者等級存取權限的漏洞利用問題。
如果攻擊者能夠獲得這些帳戶之一併且存在貢獻者等級的漏洞，他們可能有機會升級其權限並對受害者造成真正的傷害。 以貢獻者層級的跨站腳本漏洞為例。
由於貢獻者層級存取的性質，管理員很可能會預覽貼文以供審核，此時將執行任何注入的 JavaScript； 這意味著，由於管理員對貼文的預覽，攻擊者的成功機率相對較高。 供出版。
與任何跨站點腳本漏洞一樣，它可以被利用來新增新的管理使用者帳戶、注入後門以及基本上執行網站管理員可以執行的任何操作。 如果嚴重的攻擊者可以存取貢獻者層級的帳戶，並且沒有其他簡單的方法來提升其權限，那麼他很可能會利用貢獻者層級的跨站點腳本來獲得進一步的存取權限。 如上所述，您可能不會看到絕大多數 WordPress 網站的這種複雜程度，因此高價值網站需要擔心這些問題。
總而言之，雖然我認為絕大多數網站所有者不需要擔心貢獻者級別的漏洞，但如果您允許在您所在的位置進行此級別的用戶註冊，那麼認真對待它們仍然很重要，不要施加任何強制。 使用者密碼和/或您擁有一個高價值的 WordPress 網站。
注意漏洞
雖然許多中級漏洞可能無需擔心，但保持警惕仍然是個好主意。 安全掃描器（例如免費版本的 WPScan）可以在外掛程式或主題容易受到攻擊時發出警告。 這是建立一個警告系統來掌握漏洞的好方法。
Wordfence 等 WordPress 安全性外掛程式提供了主動的安全態勢，可以主動阻止自動駭客攻擊，高級用戶可以對其進行微調以阻止特定的機器人和用戶代理。 Wordfence 的免費版本以防火牆和惡意軟體掃描程式的形式提供重要的保護。 付費版本在發現所有漏洞後以及修復漏洞之前為所有漏洞提供保護。 我在所有網站上都使用 Wordfence，無法想像如果沒有它，我會建立一個網站。
安全性通常不被視為 SEO 問題，但應將其視為一個問題，因為未能確保網站安全可能會導致為提高網站排名而付出的所有努力付諸東流。
精選圖片由 Shutterstock/Juan Villa Torres 提供
