当前位置：首页 > news >正文

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

news 2025/9/16 18:33:18

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。

该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它影响Bricks的所有版本，包括1.9.6版本及更早版本。

该漏洞已在2024年2月13日发布的1.9.6.1版本中得到解决，这仅仅是在WordPress安全提供商Snicco在2月10日报告了该漏洞几天后。

尽管尚未发布PoC（概念验证）利用程序，但Snicco和Patchstack都发布了技术细节，指出存在于prepare_query_vars_from_settings()函数中的潜在易受攻击的代码。

具体而言，涉及使用称为“一次性令牌”的安全令牌来验证权限，然后可用于传递任意命令以执行，有效地允许恶意威胁行为者控制目标站点。

Patchstack表示，一次性令牌值在WordPress网站前端是公开可用的，而且没有适当的角色检查。

WordPress在其文档中警告说：“永远不要依赖一次性令牌进行身份验证、授权或访问控制。”“使用current_user_can()保护您的函数，并始终假定一次性令牌可能会被破坏。”

WordPress安全公司Wordfence表示，截至2024年2月19日，他们已经检测到超过三十次攻击尝试利用该漏洞。据称，利用尝试始于2月14日，即公开披露的一天之后。

大多数攻击来源于以下IP地址-

200.251.23[.]57

92.118.170[.]216

103.187.5[.]128

149.202.55[.]79

5.252.118[.]211

91.108.240[.]52

Bricks目前估计有大约25,000个活跃安装。建议插件的用户应用最新补丁以减轻潜在威胁。

原文

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它…...

编程日记 2024/3/9 5:53:03

【C++ 23种设计模式】

C 23种设计模式 ■ 创建型模式(5种)■ 工厂模式■ 抽象工厂模式■ 原型模式■ 单例模式■ 第一种：单线程（懒汉）■ 第二种：多线程（互斥量实现锁懒汉）■ 第三种：多线程（const static饿…...

编程日记 2024/3/9 5:50:01

亚信安慧AntDB:企业数据管理的明日之星

在信息科技飞速发展的时代，亚信科技AntDB团队提出了一项颠覆性的“超融合”理念，旨在满足企业日益增长的复杂混合负载和多样化数据类型的业务需求。这一创新性框架的核心思想在于融合多引擎和多能力，充分发挥分布式数据库引擎的架构优势&…...

编程日记 2024/3/9 5:45:57

Android Gradle开发与应用 (三) : Groovy语法概念与闭包

1. Groovy介绍 Groovy是一种基于Java平台的动态编程语言，与Java是完全兼容，除此之外有很多的语法糖来方便我们开发。Groovy代码能够直接运行在Java虚拟机（JVM）上，也可以被编译成Java字节码文件。以下是Groovy的一些…...

编程日记 2024/3/9 5:42:54

Android 14 设置锁屏为NONE后开启双卡PIN锁，重启设备后，输完卡1的PIN码就进入了安卓界面，未提示输入卡2的PIN码

一.问题背景目前在多个Android14平台发现开启双卡PIN码并且关闭屏幕锁的情况下，第二个PIN码锁输入弹框不能弹出问题，导致第二个卡不能注网。如下是未修改前重启后解锁卡1PIN码的状态可以看出卡2不能正常使用二.何处关闭了卡2的PIN锁？ 1.添加日志首先在KeyguardSecu…...

编程日记 2024/3/9 5:39:50

2024 GoLand激活，分享几个GoLand激活的方案

文章目录 GoLand公司简介我这边使用GoLand的理由GoLand 最新变化GoLand 2023.3 最新变化AI Assistant 正式版GoLand 中的 AI Assistant：_Rename_（重命名）GoLand 中的 AI Assistant：_Write documentation_（编写文档&…...

编程日记 2024/3/9 5:38:49

linux中对信号的认识

信号的概念与相关知识认识信号是向目标进程发送消息通知的的一种机制。信号可以以异步的方式发送给进程，也就是说，进程无需主动等待，而是在任何时间都可以接收到信号。信号的种类用kill-l命令查看系统定义的信号列表： 前台…...

编程日记 2024/3/9 5:36:48

【万题详解】P1048 [NOIP2005 普及组] 采药

题目描述链接——题目在这里！！！ 辰辰是个天资聪颖的孩子，他的梦想是成为世界上最伟大的医师。为此，他想拜附近最有威望的医师为师。医师为了判断他的资质，给他出了一个难题。医师把他带到一个到处都是草…...

编程日记 2024/3/9 5:31:43

Golang基于Redis bitmap实现布隆过滤器（完结版）

Golang基于Redis bitmap实现布隆过滤器（完结版） 为了防止黑客恶意刷接口（请求压根不存在的数据），目前通常有以下几种做法： 限制IP（限流）Redis缓存不存在的key布隆过滤器挡在Redis前 …...

编程日记 2024/3/9 5:27:39

Java基础-内部类

内部类引言内部类的共性成员内部类静态内部类非静态内部类局部内部类匿名内部类内部类的使用场景和好处引言 Java不仅可以定义变量和方法,还可以定义类. 内部类允许你把一些逻辑相关的类组织在一起,并可以控制内部中类的可见性. 这么看来,内部类就像是代码一种隐藏机制:将类…...

编程日记 2024/3/9 5:25:36

设计模式-行为型模式-职责链模式

在软件系统运行时，对象并不是孤立存在的，它们可以通过相互通信协作完成某些功能，一个对象在运行时也将影响到其他对象的运行。行为型模式（Behavioral Pattern）关注系统中对象之间的交互，研究系统在运行时对…...

编程日记 2024/3/9 5:21:32

代码随想录算法训练营第四十天|LeetCode343 整数拆分、LeetCode96 不同的二叉搜索树

343.整数拆分思路：确定dp数组以及下标的含义 dp[i]代表 i可以被拆分后的最大乘积。确定递推公式，假如拆成连个数，dp[i] j*(i-j),拆成两个数以上，dp[i]j*dp[i-j]，j的范围为1到i-1.dp[i]找到所有情况的最大值。初始化…...

编程日记 2024/3/9 5:19:30

接口自动化测试用例如何设计

说到自动化测试，或者说接口自动化测试，多数人的第一反应是该用什么工具，比如：Python Requests、Java HttpClient、Apifox、MeterSphere、自研的自动化平台等。大家似乎更关注的是哪个工具更优秀，甚至出现“ 做平台的 &…...

编程日记 2024/3/9 5:17:29

弱电综合布线：连接现代生活的纽带

在当今信息化快速发展的时代，弱电网络布线作为信息传输的重要基础设施，其作用日益凸显。它不仅保障了数据的高效流通，还确保了通信的稳定性。从商业大厦到教育机构，从政府机关到医院急救中心，再到我们居住的社区&#…...

编程日记 2024/3/9 5:13:25

Java零基础 - 数组的定义和声明

哈喽，各位小伙伴们，你们好呀，我是喵手。今天我要给大家分享一些自己日常学习到的一些知识点，并以文字的形式跟大家一起交流，互相学习，一个人虽可以走的更快，但一群人可以走的更远。我是一名后…...

编程日记 2024/3/9 5:12:24

CSS补充（下），弹性布局（上）

高级选择器 1.兄弟选择器 2.同时满足 div.bg{background-color: red;}p.bg{background-color: green;}spam.bg{background-color: blue;}注：选择器中间没有空格，有明确标识的选择器写在后面 3.各种伪类的应用 3.1作为第几个子元素选择器:nth-child…...

编程日记 2024/3/9 5:10:23

图数据库之 Neo4j - 应用场景4 - 反洗钱(9)

原理 Neo4j图数据库可以用于构建和分析数据之间的关系。它使用节点和关系来表示数据，并提供实时查询能力。通过使用Neo4j，可以将大量的交易数据导入图数据库，并通过查询和分析图结构来发现洗钱行为中的模式和关联。案例分析假设有一家转账服务公司，有以下交易数据，每个…...

编程日记 2024/3/9 5:09:22

uboot分区介绍

RK平台的U-Boot支持两种分区表 RK paramter格式（旧）和标准GPT格式（新），当机器上同时存在两种分区表时，优先使用GPT分区表。无论是 GPT 还是 RK parameter，烧写用的分区表文件都叫parameter.t…...

编程日记 2024/3/9 5:08:21

快速收集诊断信息，敏捷诊断工具obdiag应用实践——《OceanBase诊断系列》之三

1. 前言作为OceanBase的敏捷诊断工具，obdiag具有以下特点： 部署便捷：提供rpm包和OBD上部署的模式，都能够一键部署安装。用户可以选择将其部署到集群中任意一台能连接到各个节点的设备上，而不仅限于OBServer节点。即…...

编程日记 2024/3/9 5:07:20

C++错误总结（1）

1.定义函数类型时，如果没有返回值，用void void swap(int &x, int &y){ int tem x; x y; y tem; } 2.输入时，不加换行符 cin >> a >> b >> c >> endl ;(红色标记的是错误的部分) 3.【逆序出入…...

编程日记 2024/3/9 5:05:19

C++标志库中提供is_convertible，可以测试一种类型是否可以转换为另一只类型： template <class From, class To> struct is_convertible; 使用举例： #include <iostream> #include <string>using namespace std;struct A { }; struct B : A { };int main…...

编程新知 2025/6/11 15:23:57

Debian系统简介

目录 Debian系统介绍 Debian版本介绍 Debian软件源介绍软件包管理工具dpkg dpkg核心指令详解安装软件包卸载软件包查询软件包状态验证软件包完整性手动处理依赖关系 dpkg vs apt Debian系统介绍 Debian 和 Ubuntu 都是基于 Debian内核的 Linux 发行版&#xff…...

编程新知 2025/9/6 15:40:21