WP Maps Pro 漏洞遭利用，WordPress 网站控制权易主
- 浏览次数 112
- 喜欢 0
Defiant 公司发出警告，威胁行为者正在利用 WordPress 插件 WP Maps Pro 中的一个严重漏洞来接管网站。
WP Maps Pro 允许网站管理员在其站点中嵌入谷歌地图，并可通过高级位置、标记和类别进行自定义设置。
此次被利用的漏洞编号为 CVE - 2026 - 8732（CVSS 评分为 9.8），未经身份验证的威胁行为者可借此创建新的管理员账户，进而接管存在漏洞的网站。
WP Maps Pro 旨在支持相关工具，其中一项临时访问功能是供应商在故障排除操作中用于登录客户网站的。
Defiant 公司称，该安全缺陷存在于一个用于处理临时访问生成的回调 AJAX 函数中，该函数仅通过随机数（nonce）检查进行保护。
该公司解释说，随机数被嵌入到每个前端页面，并暴露给任何未经身份验证的用户，这使得随机数检查形同虚设。
此外，该插件未进行权限检查，这使得未经身份验证的攻击者能够调用 AJAX 操作，并将 check_temp 参数设置为 false，从而创建一个具有管理员权限的新 WordPress 用户。
生成的用户具有随机用户名和硬编码的电子邮件地址。此外，该函数会生成一个免密登录 URL 并返回给攻击者，攻击者无需密码或额外验证即可通过该 URL 进行身份验证。
Defiant 公司解释道：“最终，攻击者将获得网站的完全管理员级控制权，进而能够安装恶意插件、修改主题、注入后门、渗出数据，或部署 Webshell 以实现持续访问。”
WP Maps Pro 6.1.1 版本已修复该漏洞，新增了权限检查，将访问权限限制为已验证的管理员。
Defiant 公司表示，在过去 24 小时内，他们已阻止了超过 1700 次针对 CVE - 2026 - 8732 的攻击。
消息来源：securityweek.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文