最新WordPress漏洞，黑客可轻松控制您的网站

近日，我们收到了关于WordPress核心中一个未修补漏洞的提示，该漏洞可能允许低特权用户劫持整个网站并在服务器上执行任意代码，这个最新WordPress漏洞，黑客可轻松控制您的网站。由研究人员发现，7个月前向WordPress安全团队报告了"已认证的任意文件删除"漏洞，但仍未修复，并影响到所有版本的WordPress，包括当前的4.9.6。该漏洞存在于用户永久删除上传图像的缩略图时在后台运行的WordPress核心功能之一。

WordPress漏洞

研究人员发现，缩略图删除功能可以接受未经过处理的用户输入，如果这种输入得到缓和，可以允许至少有作者的特权有限的用户从网络主机中删除任何文件，否则应该只允许服务器或网站管理员进行操作。至少一个作者帐户的要求会在某种程度上自动降低此漏洞的严重程度，这可能会被流氓内容撰稿人或黑客利用网络钓鱼，密码重用或其他攻击以某种方式获取作者的凭证所利用。

WordPress漏洞

研究人员表示，利用这个漏洞，攻击者可以从服务器上删除任何重要文件，例如".htaccess"，通常包含与安全相关的配置，以试图禁用保护。除此之外，删除"wp-config.php"文件，包含数据库连接信息的WordPress安装中最重要的配置文件之一，可能会强制整个网站返回安装屏幕，据称允许攻击者从浏览器重新配置网站并完全接管其控制。

但是，应该注意的是，由于攻击者无法直接读取wp-config.php文件的内容来知道现有的"数据库名称"，"mysql用户名"及其"密码"，所以他可以重新设置目标站点在他的控制下使用远程数据库服务器。