江蘇
關(guān)鍵詞
漏洞
黑客正在積極利用 WordPress 的 Breeze Cache 插件中的一個(gè)嚴(yán)重漏洞，該漏洞可讓攻擊者在無(wú)需身份驗(yàn)證的情況下，在服務(wù)器上上傳任意文件。
此安全漏洞編號(hào)為 CVE - 2026 - 3844，WordPress 生態(tài)系統(tǒng)的安全解決方案 Wordfence 已監(jiān)測(cè)到超 170 次利用該漏洞的攻擊嘗試。
Cloudways 開發(fā)的 Breeze Cache 是一款 WordPress 緩存插件，擁有超 40 萬(wàn)活躍安裝量，旨在通過(guò)緩存、文件優(yōu)化和數(shù)據(jù)庫(kù)清理減少頁(yè)面加載頻率，從而提升網(wǎng)站性能和加載速度。
該漏洞被評(píng)定為嚴(yán)重級(jí)別，在 10 分制中獲 9.8 分，由安全研究員洪阮（Hung Nguyen，網(wǎng)名 bashu）發(fā)現(xiàn)并報(bào)告。
Wordfence 的開發(fā)商、WordPress 安全公司 Defiant 的研究人員表示，問題源于 “fetch_gravatar_from_remote” 函數(shù)中缺少文件類型驗(yàn)證。
這使得未經(jīng)身份驗(yàn)證的攻擊者能夠向服務(wù)器上傳任意文件，進(jìn)而可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行（RCE），實(shí)現(xiàn)對(duì)網(wǎng)站的完全控制。
不過(guò)，研究人員稱，只有在啟用 “本地托管文件 - Gravatars” 附加組件（默認(rèn)未開啟）的情況下，攻擊才可能成功。
CVE - 2026 - 3844 影響 2.4.4 及之前的所有 Breeze Cache 版本。Cloudways 已于本周早些時(shí)候發(fā)布的 2.4.5 版本中修復(fù)該漏洞。
據(jù)WordPress.org的統(tǒng)計(jì)數(shù)據(jù)，自最新版本發(fā)布以來(lái)，該插件約有 13.8 萬(wàn)次下載。但尚不清楚有多少網(wǎng)站存在漏洞，因?yàn)闆]有關(guān)于啟用 “本地托管文件 - Gravatars” 功能的網(wǎng)站數(shù)量數(shù)據(jù)。
鑒于該漏洞正被積極利用，建議依賴 Breeze Cache 提升性能的網(wǎng)站所有者 / 管理員盡快將插件升級(jí)到最新版本，或暫時(shí)停用該插件。
如果目前無(wú)法升級(jí)，管理員至少應(yīng)禁用 “本地托管文件 - Gravatars” 功能。
安全圈
網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全
實(shí)時(shí)資訊一手掌握！
好看你就分享 有用就點(diǎn)個(gè)贊
支持「安全圈」就點(diǎn)個(gè)三連吧！
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
