建议使用Newsletter插件的WordPress网站所有者更新其安装，以阻止可能利用固定漏洞的攻击，从而使黑客能够注入后门，创建流氓管理员并可能接管其网站。
该漏洞在Newsletter WordPress插件中找到，该 插件提供了使用可视化作曲器在WordPress博客上创建响应式新闻和电子邮件营销活动所需的工具。
自从将新闻通讯添加到官方WordPress插件存储库以来，其下载量已超过1200万次，现已安装在300,000多个站点上。
两天内修补
在 Wordfence威胁情报团队今天发布的一份报告中，威胁分析师Ram Gall说，他在分析插件开发人员7月13日发布的先前补丁时发现了另外两个安全漏洞。
Wordfence发现了一个反映的跨站点脚本（XSS）漏洞和一个PHP对象注入漏洞，它们都在7月17日由Newsletter的开发团队进行了全面修补，并于7月15日发送了初始报告的两天后发布了6.8.3版。
虽然这两个漏洞被评为中度和高度严重性问题，但它们可能允许攻击者在运行易受攻击的Newsletter插件版本的网站上成功利用所反映的XSS问题后，添加恶意管理员并注入后门程序。
此外，“ PHP对象注入漏洞”可用于注入一个PHP对象，该对象可能会被另一个插件或主题中的代码处理，并用于执行任意代码，上传文件或其他可能导致网站接管的其他策略，盖尔说。
至少有150,000个站点仍然受到攻击
即使Newsletter 6.8.3（已修复两个漏洞的补丁程序版本）已于7月17日发布，但根据历史数据，包括更新和新安装，此后此插件仅被下载了151449次。
如果黑客在以后的活动中开始利用这些错误，则可以转换为至少150,000个WordPress站点，这些站点具有活动的Newsletter安装，仍然有可能遭受潜在的攻击。
强烈建议新闻通讯用户尽快将其插件更新为6.8.3版本，以阻止旨在添加流氓管理员或在其网站上注入后门的攻击，因为威胁行为者经常在攻击中使用已经修复的WordPress插件漏洞。
例如，两个月前，Wordfence报告了一个针对 24 万个WordPress网站的活动，该活动在成功利用影响WordPress插件和主题的已知XSS漏洞后，试图通过窃取配置文件来收集数据库凭据。
当时，Gall表示：“在2020年5月29日至5月31日之间，Wordfence防火墙阻止了1.3亿次攻击，这些攻击旨在通过下载130万个站点的配置文件来获取数据库凭据。”
上周，在70,000多个WordPress网站上安装的wpDiscuz插件中发现了一个严重性最高的漏洞，使黑客可以通过远程代码执行攻击来接管托管帐户。
*编译：Domino
*来自：bleepingcomputer