这次来了一个批量漏洞包啊，20个WordPress插件出现重要漏洞（见下方的表格），其中WordPress NextGEN Gallery插件更是拥有过百万的装机量，波及面较大。
各位站长们需要有两个动作，1赶紧看看自己是否使用了这些插件，2赶紧看看使用的补丁是否有升级版本。绿盟科技就此问题发布了安全威胁通告。
NextGEN Gallery是做什么的
nextgen-gallery相册插件是众所周知的wordpress相册插件，这款插件非常强大，几乎可以说是最好的一款图片插件。可以在博客中任意插入动态图片效果，提供了很完美的照片管理方法，操作也并不复杂。在WordPress平台上拥有过百万的安装量。
WordPress多个插件存在漏洞安全威胁通告
通告全文如下
近日，WordPress的多个插件曝出漏洞，漏洞类型包括跨站脚本，SQL注入等。其中NextGEN Gallery插件的SQL注入影响上百万用户，允许未经身份认证的攻击者获取数据库中包括用户信息在内的敏感数据，NextGEN Gallary插件已经发布修复补丁。
类型 |
插件 |
危害 |
测试漏洞版本 |
修复情况 |
反射型XSS |
Google Analytics Dashboard WordPress |
当目标访问恶意页面时，窃取用户Session Token， 或以合法用户身份执行某些行为等。 |
2.1.1 |
无可用修复 |
Alpine PhotoTile for Instagram |
1.2.7.7 |
无可用修复 |
||
Popup by Supsystic |
1.7.6 |
无可用修复 |
||
Tribulant Slideshow Galleries |
1.6.3 |
|||
Magic Fields 1 |
1.7.1 |
1.7.2修复。下载地址： |
||
Gwolle Guestbook |
1.7.4 |
2.1.1修复。 下载地址： |
||
WP-SpamFree Anti-Spam |
2.1.1.4 |
无可用修复 |
||
Trust Form |
2.0 |
无可用修复 |
||
WP-Filebase Download Manager |
3.4.4 |
无可用修复 |
||
存储型XSS |
Admin Custom Login |
当目标访问恶意页面时，窃取用户Session Token， 或以合法用户身份执行某些行为等。 |
2.4.5.2 |
无可用修复 |
Contact Form by BestWebSoft |
4.0.0 |
4.0.2修复。下载地址： |
||
User Login Log |
2.2.1 |
无可用修复 |
||
NewStatPress |
1.2.4 |
1.2.5修复。 下载地址： |
||
PHP对象注入 |
Analytics Stats Counter Statistics |
可能引起潜在的代码执行 |
1.2.2.5 |
无可用修复 |
Simple Ads Manager |
2.9.8.125 |
无可用修复 |
||
SQL注入 |
NextGEN Gallery |
泄露用户口令哈希或者WordPress秘钥 |
<2.1.79 |
2.1.79修复。 下载地址： |
跨站请求伪造 |
File Manager |
当用户已登录站点时访问恶意网址， 攻击者可以伪装成用户发送相关请求。 |
3.0.1 |
无可用修复 |
Popup by Supsystic |
1.7.6 |
无可用修复 |
||
WordPress Download Manager |
2.8.99 |
无可用修复 |
||
Global Content Blocks |
2.1.5 |
无可用修复 |
相关链接如下：
https://sumofpwn.nl/advisory/2016/cross_site_scripting_in_magic_fields_1_wordpress_plugin.html
https://blog.sucuri.net/2017/02/sql-injection-vulnerability-nextgen-gallery-wordpress.html
https://sumofpwn.nl/advisory/2016/cross_site_request_forgery_in_file_manager_wordpress_plugin.html
规避方案
如果用户所使用的受影响插件已发布修复补丁，则建议用户尽快升级；若尚未发布补丁，则建议用户暂时禁用相关插件。
绿盟科技声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
