一個安裝量超過 100 萬的流行 WordPress 插件發(fā)現(xiàn)了嚴重 SQL 注入漏洞，允許攻擊者從網(wǎng)站的數(shù)據(jù)庫竊取密碼和密鑰等敏感數(shù)據(jù)。該插件叫 NextGEN Gallery，開發(fā)者已經(jīng)修復了該漏洞，釋出了 v2.1.79 版，安裝該插件的網(wǎng)站應該盡可能快的更新。網(wǎng)站如果允許用戶遞交帖子，并且激活了 NextGEN Basic TagCloud Gallery 選項，允許訪問者通過標簽導航圖庫，攻擊者可以修改 URL 參數(shù)，插入 SQL 查詢指令，加載惡意鏈接時插件將會執(zhí)行指令。該漏洞是因為對 URL 參數(shù)不正確的輸入處理導致的，這種問題在 WordPress 以及非 WordPress 網(wǎng)站中間非常普遍。

本文永久更新鏈接地址：http://www.linuxidc.com/Linux/2017-03/141215.htm