当前位置： 首页 > news >正文

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

news 2026/4/21 9:53:57

图片

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。

图片

该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它影响Bricks的所有版本，包括1.9.6版本及更早版本。

该漏洞已在2024年2月13日发布的1.9.6.1版本中得到解决，这仅仅是在WordPress安全提供商Snicco在2月10日报告了该漏洞几天后。

尽管尚未发布PoC（概念验证）利用程序，但Snicco和Patchstack都发布了技术细节，指出存在于prepare_query_vars_from_settings()函数中的潜在易受攻击的代码。

具体而言，涉及使用称为“一次性令牌”的安全令牌来验证权限，然后可用于传递任意命令以执行，有效地允许恶意威胁行为者控制目标站点。

Patchstack表示，一次性令牌值在WordPress网站前端是公开可用的，而且没有适当的角色检查。

图片

WordPress在其文档中警告说：“永远不要依赖一次性令牌进行身份验证、授权或访问控制。”“使用current_user_can()保护您的函数，并始终假定一次性令牌可能会被破坏。”

WordPress安全公司Wordfence表示，截至2024年2月19日，他们已经检测到超过三十次攻击尝试利用该漏洞。据称，利用尝试始于2月14日，即公开披露的一天之后。

大多数攻击来源于以下IP地址-

200.251.23[.]57

92.118.170[.]216

103.187.5[.]128

149.202.55[.]79

5.252.118[.]211

91.108.240[.]52

Bricks目前估计有大约25,000个活跃安装。建议插件的用户应用最新补丁以减轻潜在威胁。

原文

相关文章：

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。 该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它…...

编程日记 2024/3/9 5:53:03

【C++ 23种设计模式】

C 23种设计模式 ■ 创建型模式(5种)■ 工厂模式■ 抽象工厂模式■ 原型模式■ 单例模式■ 第一种：单线程（懒汉）■ 第二种：多线程（互斥量实现锁懒汉）■ 第三种：多线程（const static饿…...

编程日记 2024/3/9 5:50:01

亚信安慧AntDB:企业数据管理的明日之星

在信息科技飞速发展的时代，亚信科技AntDB团队提出了一项颠覆性的“超融合”理念，旨在满足企业日益增长的复杂混合负载和多样化数据类型的业务需求。这一创新性框架的核心思想在于融合多引擎和多能力，充分发挥分布式数据库引擎的架构优势&…...

编程日记 2024/3/9 5:45:57

Android Gradle开发与应用 (三) : Groovy语法概念与闭包

1. Groovy介绍 Groovy是一种基于Java平台的动态编程语言，与Java是完全兼容，除此之外有很多的语法糖来方便我们开发。Groovy代码能够直接运行在Java虚拟机（JVM）上，也可以被编译成Java字节码文件。 以下是Groovy的一些…...

编程日记 2024/3/9 5:42:54

Android 14 设置锁屏为NONE后开启双卡PIN锁，重启设备后，输完卡1的PIN码就进入了安卓界面，未提示输入卡2的PIN码

一.问题背景 目前在多个Android14平台发现开启双卡PIN码并且关闭屏幕锁的情况下，第二个PIN码锁输入弹框不能弹出问题，导致第二个卡不能注网。 如下是未修改前重启后解锁卡1PIN码的状态 可以看出卡2不能正常使用 二.何处关闭了卡2的PIN锁？ 1.添加日志 首先在KeyguardSecu…...

编程日记 2024/3/9 5:39:50

2024 GoLand激活，分享几个GoLand激活的方案

文章目录 GoLand公司简介我这边使用GoLand的理由GoLand 最新变化GoLand 2023.3 最新变化AI Assistant 正式版GoLand 中的 AI Assistant：_Rename_（重命名）GoLand 中的 AI Assistant：_Write documentation_（编写文档&…...

编程日记 2024/3/9 5:38:49

linux中对信号的认识

信号的概念与相关知识认识 信号是向目标进程发送消息通知的的一种机制。 信号可以以异步的方式发送给进程，也就是说，进程无需主动等待，而是在任何时间都可以接收到信号。 信号的种类 用kill-l命令查看系统定义的信号列表： 前台…...

编程日记 2024/3/9 5:36:48

【万题详解】P1048 [NOIP2005 普及组] 采药

题目描述 链接——题目在这里！！！ 辰辰是个天资聪颖的孩子，他的梦想是成为世界上最伟大的医师。为此，他想拜附近最有威望的医师为师。医师为了判断他的资质，给他出了一个难题。医师把他带到一个到处都是草…...

编程日记 2024/3/9 5:31:43

Golang基于Redis bitmap实现布隆过滤器（完结版）

Golang基于Redis bitmap实现布隆过滤器（完结版） 为了防止黑客恶意刷接口（请求压根不存在的数据），目前通常有以下几种做法： 限制IP（限流）Redis缓存不存在的key布隆过滤器挡在Redis前 …...

编程日记 2024/3/9 5:27:39

Java基础-内部类

内部类 引言内部类的共性成员内部类静态内部类非静态内部类 局部内部类匿名内部类内部类的使用场景和好处 引言 Java不仅可以定义变量和方法,还可以定义类. 内部类允许你把一些逻辑相关的类组织在一起,并可以控制内部中类的可见性. 这么看来,内部类就像是代码一种隐藏机制:将类…...

编程日记 2024/3/9 5:25:36

设计模式-行为型模式-职责链模式

在软件系统运行时，对象并不是孤立存在的，它们可以通过相互通信协作完成某些功能，一个对象在运行时也将影响到其他对象的运行。行为型模式（Behavioral Pattern）关注系统中对象之间的交互，研究系统在运行时对…...

编程日记 2024/3/9 5:21:32

代码随想录算法训练营第四十天|LeetCode343 整数拆分、LeetCode96 不同的二叉搜索树

343.整数拆分 思路：确定dp数组以及下标的含义 dp[i]代表 i可以被拆分后的最大乘积。确定递推公式，假如拆成连个数，dp[i] j*(i-j),拆成两个数以上，dp[i]j*dp[i-j]，j的范围为1到i-1.dp[i]找到所有情况的最大值。初始化…...

编程日记 2024/3/9 5:19:30

接口自动化测试用例如何设计

说到自动化测试，或者说接口自动化测试，多数人的第一反应是该用什么工具，比如：Python Requests、Java HttpClient、Apifox、MeterSphere、自研的自动化平台等。大家似乎更关注的是哪个工具更优秀，甚至出现“ 做平台的 &…...

编程日记 2024/3/9 5:17:29

弱电综合布线：连接现代生活的纽带

在当今信息化快速发展的时代，弱电网络布线作为信息传输的重要基础设施，其作用日益凸显。它不仅保障了数据的高效流通，还确保了通信的稳定性。从商业大厦到教育机构，从政府机关到医院急救中心，再到我们居住的社区&#…...

编程日记 2024/3/9 5:13:25

Java零基础 - 数组的定义和声明

哈喽，各位小伙伴们，你们好呀，我是喵手。 今天我要给大家分享一些自己日常学习到的一些知识点，并以文字的形式跟大家一起交流，互相学习，一个人虽可以走的更快，但一群人可以走的更远。 我是一名后…...

编程日记 2024/3/9 5:12:24

CSS补充（下），弹性布局（上）

高级选择器 1.兄弟选择器 2.同时满足 div.bg{background-color: red;}p.bg{background-color: green;}spam.bg{background-color: blue;}注：选择器中间没有空格，有明确标识的选择器写在后面 3.各种伪类的应用 3.1作为第几个子元素 选择器:nth-child…...

编程日记 2024/3/9 5:10:23

图数据库 之 Neo4j - 应用场景4 - 反洗钱(9)

原理 Neo4j图数据库可以用于构建和分析数据之间的关系。它使用节点和关系来表示数据，并提供实时查询能力。通过使用Neo4j，可以将大量的交易数据导入图数据库，并通过查询和分析图结构来发现洗钱行为中的模式和关联。 案例分析 假设有一家转账服务公司，有以下交易数据，每个…...

编程日记 2024/3/9 5:09:22

uboot分区介绍

RK平台的U-Boot支持两种分区表 RK paramter格式（旧）和 标准GPT格式（新），当机器上同时存在 两种分区表时，优先使用GPT分区表。无论是 GPT 还是 RK parameter，烧写用的分区表文件都叫parameter.t…...

编程日记 2024/3/9 5:08:21

快速收集诊断信息，敏捷诊断工具obdiag应用实践——《OceanBase诊断系列》之三

1. 前言 作为OceanBase的敏捷诊断工具，obdiag具有以下特点： 部署便捷：提供rpm包和OBD上部署的模式，都能够一键部署安装。用户可以选择将其部署到集群中任意一台能连接到各个节点的设备上，而不仅限于OBServer节点。即…...

编程日记 2024/3/9 5:07:20

C++错误总结（1）

1.定义函数类型时，如果没有返回值，用void void swap(int &x, int &y){ int tem x; x y; y tem; } 2.输入时，不加换行符 cin >> a >> b >> c >> endl ;(红色标记的是错误的部分) 3.【逆序出入…...

编程日记 2024/3/9 5:05:19

Ubuntu服务器全盘加密与远程启动自动化解密实践

1. 为什么需要全盘加密与自动解密？ 最近帮朋友配置了一台托管在机房的Ubuntu服务器，遇到个头疼的问题：既要保证数据安全，又要能远程重启。传统方案要么加密不彻底，要么每次开机都得手动输密码，对于无人值守…...

编程新知 2026/4/21 9:22:19

如何彻底解决C盘爆满问题？Windows Cleaner终极清理方案

如何彻底解决C盘爆满问题？Windows Cleaner终极清理方案 【免费下载链接】WindowsCleaner Windows Cleaner——专治C盘爆红及各种不服！ 项目地址: https://gitcode.com/gh_mirrors/wi/WindowsCleaner 你是不是也经常遇到这样的烦恼：电脑…...

编程新知 2026/4/21 9:14:11

Qwen2.5-14B-Instruct微调关键点：Pixel Script Temple中对白张力建模方法解析

Qwen2.5-14B-Instruct微调关键点：Pixel Script Temple中对白张力建模方法解析 1. 项目背景与核心价值 Pixel Script Temple是一款基于Qwen2.5-14B-Instruct深度微调的专业剧本创作工具。这个独特的创作环境将先进的大语言模型能力与8-Bit复古美学设计相结合&#…...

编程新知 2026/4/21 8:55:39

百度网盘限速破解：3分钟学会高速下载的实用技巧

百度网盘限速破解：3分钟学会高速下载的实用技巧 【免费下载链接】baidu-wangpan-parse 获取百度网盘分享文件的下载地址 项目地址: https://gitcode.com/gh_mirrors/ba/baidu-wangpan-parse 还在为百度网盘的龟速下载而烦恼吗？每次看着进度条缓慢…...

编程新知 2026/4/21 8:27:39

Moon主题开发原理深度解析：Jekyll架构与主题设计哲学

Moon主题开发原理深度解析：Jekyll架构与主题设计哲学 【免费下载链接】Moon 🌓 Moon is a minimal, one column jekyll theme. 项目地址: https://gitcode.com/gh_mirrors/moon/Moon Moon是一款基于Jekyll构建的极简单栏博客主题，以其…...

编程新知 2026/4/21 8:11:42

告别SSLError！手把手教你离线安装Sentence Transformers的all-MiniLM-L6-v2模型（附国内镜像源）

离线部署Sentence Transformers模型全攻略：all-MiniLM-L6-v2国内高效安装指南 当你在本地运行SentenceTransformer(all-MiniLM-L6-v2)时，是否经常遇到网络连接超时或SSL证书错误？这种情况在国内开发环境中尤为常见。本文将彻底解决这个痛点&…...

编程新知 2026/4/21 8:03:36

当智能眼镜遇上了AI——使用灵珠搭建【镜中食谱】智能体

今天带大家沉浸式体验 Rokid 自研的 AI 开发平台——【灵珠平台】！ 🌟 零代码、零门槛，手把手教你搭建一个专属的【镜中食谱】智能体，让 Rokid Glasses 解决你的吃饭难题！ 本文智能体基于Rokid AI Glasses和灵珠AI平…...

编程新知 2026/4/21 7:18:03

别再只插USB了！树莓派Pico的VSYS、3V3、VBUS引脚供电方案全解析（附电池供电实战）

树莓派Pico供电系统深度实战：从锂电池管理到多电源无缝切换 当第一次将树莓派Pico从USB线缆上拔下来时，那种摆脱线材束缚的自由感令人兴奋——直到发现设备突然断电。这个场景揭示了嵌入式开发中最基础却最容易被忽视的问题：如何为移动中的Pi…...

编程新知 2026/4/21 6:08:29

LangChain 怎么构建 Skill 和引入工具：从工具接入到开箱即用的10个优质Skill

别再只会写Function Call了！LangChain Skill构建全指南：从工具接入到开箱即用的10个优质Skill 目录 别再只会写Function Call了！LangChain Skill构建全指南：从工具接入到开箱即用的10个优质Skill 一、先搞懂：Tool和Skill到底有什么区别？ 二、用LangChain构建Skill的3种标…...

编程新知 2026/4/21 6:00:19

Dify API密钥越权访问事件频发？揭秘内置Permission Engine的4层拦截机制及绕过反制方案

第一章：Dify权限管控体系全景概览Dify 的权限管控体系以“角色驱动、资源隔离、细粒度控制”为核心设计原则，覆盖应用、数据集、模型、知识库及团队协作全生命周期。该体系并非仅依赖静态角色分配，而是通过策略引擎动态评估用户操作上下文&am…...

编程新知 2026/4/21 5:45:42