两个WordPress插件InfiniteWP Client和WP Time Capsule包含严重的安全漏洞，据估计有320,000个网站可被利用。
WebArx的网络安全研究人员进行了检查这两个用于管理一台服务器上的多个WordPress网站，并在发布更新时为文件和数据库条目创建备份的代码，他们发现代码中的“逻辑问题使您无需登录即可登录管理员帐户密码。”
根据WordPress插件库，InfiniteWP被用在超过300,000多个网站上，WP Time Capsule在至少20,000个域上有效。
该团队周二表示，该漏洞影响低于1.9.4.5版本的InfiniteWP，意味着可以使用带有JSON和Base64编码的POST请求有效负载来绕过密码要求，并仅通过知道管理员用户名来登录。
在低于1.21.16的WP Time Capsule版本中，可以通过在原始POST请求中添加精心设计的字符串来调用函数以捕获所有可用的管理员帐户并以列表中的第一个管理员身份登录。
WebArx于1月7日向这两个插件的开发人员报告了该漏洞，他们迅速做出回应，仅在一天后推出了软件更新。
为了解决这些问题，开发人员调整了操作代码，删除了几个函数调用并添加了有效负载真实性检查。
WebArx说，对于网站管理员而言，应用这些补丁非常重要，因为“通过通用防火墙规则很难阻止此漏洞，因为有效负载已编码，恶意负载与看上去合法的有效负载相比并没有太大不同。”
该团队补充说：“开发人员反应非常快，并在我们提交初次报告后的第二天就发布了补丁。” “很高兴看到开发人员能够迅速采取行动，让他们的客户知道这些问题，以帮助人们尽快更新到更安全的版本。”
*编译：Domino
*来自：ZDNET