当前位置： 首页 > news >正文

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

news 文章来源：https://blog.csdn.net/xishining/article/details/136471901 2025/5/10 17:51:59

图片

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。

图片

该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它影响Bricks的所有版本，包括1.9.6版本及更早版本。

该漏洞已在2024年2月13日发布的1.9.6.1版本中得到解决，这仅仅是在WordPress安全提供商Snicco在2月10日报告了该漏洞几天后。

尽管尚未发布PoC（概念验证）利用程序，但Snicco和Patchstack都发布了技术细节，指出存在于prepare_query_vars_from_settings()函数中的潜在易受攻击的代码。

具体而言，涉及使用称为“一次性令牌”的安全令牌来验证权限，然后可用于传递任意命令以执行，有效地允许恶意威胁行为者控制目标站点。

Patchstack表示，一次性令牌值在WordPress网站前端是公开可用的，而且没有适当的角色检查。

图片

WordPress在其文档中警告说：“永远不要依赖一次性令牌进行身份验证、授权或访问控制。”“使用current_user_can()保护您的函数，并始终假定一次性令牌可能会被破坏。”

WordPress安全公司Wordfence表示，截至2024年2月19日，他们已经检测到超过三十次攻击尝试利用该漏洞。据称，利用尝试始于2月14日，即公开披露的一天之后。

大多数攻击来源于以下IP地址-

200.251.23[.]57

92.118.170[.]216

103.187.5[.]128

149.202.55[.]79

5.252.118[.]211

91.108.240[.]52

Bricks目前估计有大约25,000个活跃安装。建议插件的用户应用最新补丁以减轻潜在威胁。

原文

相关文章：

【译】WordPress Bricks主题安全漏洞曝光，25,000个安装受影响

WordPress的Bricks主题存在一个严重的安全漏洞，恶意威胁行为者正在积极利用该漏洞在易受攻击的安装上运行任意PHP代码。 该漏洞被跟踪为CVE-2024-25600（CVSS评分：9.8），使未经身份验证的攻击者能够实现远程代码执行。它…...

编程日记 2024/3/9 5:53:03

【C++ 23种设计模式】

C 23种设计模式 ■ 创建型模式(5种)■ 工厂模式■ 抽象工厂模式■ 原型模式■ 单例模式■ 第一种：单线程（懒汉）■ 第二种：多线程（互斥量实现锁懒汉）■ 第三种：多线程（const static饿…...

编程日记 2024/3/9 5:50:01

亚信安慧AntDB:企业数据管理的明日之星

在信息科技飞速发展的时代，亚信科技AntDB团队提出了一项颠覆性的“超融合”理念，旨在满足企业日益增长的复杂混合负载和多样化数据类型的业务需求。这一创新性框架的核心思想在于融合多引擎和多能力，充分发挥分布式数据库引擎的架构优势&…...

编程日记 2024/3/9 5:45:57

Android Gradle开发与应用 (三) : Groovy语法概念与闭包

1. Groovy介绍 Groovy是一种基于Java平台的动态编程语言，与Java是完全兼容，除此之外有很多的语法糖来方便我们开发。Groovy代码能够直接运行在Java虚拟机（JVM）上，也可以被编译成Java字节码文件。 以下是Groovy的一些…...

编程日记 2024/3/9 5:42:54

Android 14 设置锁屏为NONE后开启双卡PIN锁，重启设备后，输完卡1的PIN码就进入了安卓界面，未提示输入卡2的PIN码

一.问题背景 目前在多个Android14平台发现开启双卡PIN码并且关闭屏幕锁的情况下，第二个PIN码锁输入弹框不能弹出问题，导致第二个卡不能注网。 如下是未修改前重启后解锁卡1PIN码的状态 可以看出卡2不能正常使用 二.何处关闭了卡2的PIN锁？ 1.添加日志 首先在KeyguardSecu…...

编程日记 2024/3/9 5:39:50

2024 GoLand激活，分享几个GoLand激活的方案

文章目录 GoLand公司简介我这边使用GoLand的理由GoLand 最新变化GoLand 2023.3 最新变化AI Assistant 正式版GoLand 中的 AI Assistant：_Rename_（重命名）GoLand 中的 AI Assistant：_Write documentation_（编写文档&…...

编程日记 2024/3/9 5:38:49

linux中对信号的认识

信号的概念与相关知识认识 信号是向目标进程发送消息通知的的一种机制。 信号可以以异步的方式发送给进程，也就是说，进程无需主动等待，而是在任何时间都可以接收到信号。 信号的种类 用kill-l命令查看系统定义的信号列表： 前台…...

编程日记 2024/3/9 5:36:48

【万题详解】P1048 [NOIP2005 普及组] 采药

题目描述 链接——题目在这里！！！ 辰辰是个天资聪颖的孩子，他的梦想是成为世界上最伟大的医师。为此，他想拜附近最有威望的医师为师。医师为了判断他的资质，给他出了一个难题。医师把他带到一个到处都是草…...

编程日记 2024/3/9 5:31:43

Golang基于Redis bitmap实现布隆过滤器（完结版）

Golang基于Redis bitmap实现布隆过滤器（完结版） 为了防止黑客恶意刷接口（请求压根不存在的数据），目前通常有以下几种做法： 限制IP（限流）Redis缓存不存在的key布隆过滤器挡在Redis前 …...

编程日记 2024/3/9 5:27:39

Java基础-内部类

内部类 引言内部类的共性成员内部类静态内部类非静态内部类 局部内部类匿名内部类内部类的使用场景和好处 引言 Java不仅可以定义变量和方法,还可以定义类. 内部类允许你把一些逻辑相关的类组织在一起,并可以控制内部中类的可见性. 这么看来,内部类就像是代码一种隐藏机制:将类…...

编程日记 2024/3/9 5:25:36

设计模式-行为型模式-职责链模式

在软件系统运行时，对象并不是孤立存在的，它们可以通过相互通信协作完成某些功能，一个对象在运行时也将影响到其他对象的运行。行为型模式（Behavioral Pattern）关注系统中对象之间的交互，研究系统在运行时对…...

编程日记 2024/3/9 5:21:32

代码随想录算法训练营第四十天|LeetCode343 整数拆分、LeetCode96 不同的二叉搜索树

343.整数拆分 思路：确定dp数组以及下标的含义 dp[i]代表 i可以被拆分后的最大乘积。确定递推公式，假如拆成连个数，dp[i] j*(i-j),拆成两个数以上，dp[i]j*dp[i-j]，j的范围为1到i-1.dp[i]找到所有情况的最大值。初始化…...

编程日记 2024/3/9 5:19:30

接口自动化测试用例如何设计

说到自动化测试，或者说接口自动化测试，多数人的第一反应是该用什么工具，比如：Python Requests、Java HttpClient、Apifox、MeterSphere、自研的自动化平台等。大家似乎更关注的是哪个工具更优秀，甚至出现“ 做平台的 &…...

编程日记 2024/3/9 5:17:29

弱电综合布线：连接现代生活的纽带

在当今信息化快速发展的时代，弱电网络布线作为信息传输的重要基础设施，其作用日益凸显。它不仅保障了数据的高效流通，还确保了通信的稳定性。从商业大厦到教育机构，从政府机关到医院急救中心，再到我们居住的社区&#…...

编程日记 2024/3/9 5:13:25

Java零基础 - 数组的定义和声明

哈喽，各位小伙伴们，你们好呀，我是喵手。 今天我要给大家分享一些自己日常学习到的一些知识点，并以文字的形式跟大家一起交流，互相学习，一个人虽可以走的更快，但一群人可以走的更远。 我是一名后…...

编程日记 2024/3/9 5:12:24

CSS补充（下），弹性布局（上）

高级选择器 1.兄弟选择器 2.同时满足 div.bg{background-color: red;}p.bg{background-color: green;}spam.bg{background-color: blue;}注：选择器中间没有空格，有明确标识的选择器写在后面 3.各种伪类的应用 3.1作为第几个子元素 选择器:nth-child…...

编程日记 2024/3/9 5:10:23

图数据库 之 Neo4j - 应用场景4 - 反洗钱(9)

原理 Neo4j图数据库可以用于构建和分析数据之间的关系。它使用节点和关系来表示数据，并提供实时查询能力。通过使用Neo4j，可以将大量的交易数据导入图数据库，并通过查询和分析图结构来发现洗钱行为中的模式和关联。 案例分析 假设有一家转账服务公司，有以下交易数据，每个…...

编程日记 2024/3/9 5:09:22

uboot分区介绍

RK平台的U-Boot支持两种分区表 RK paramter格式（旧）和 标准GPT格式（新），当机器上同时存在 两种分区表时，优先使用GPT分区表。无论是 GPT 还是 RK parameter，烧写用的分区表文件都叫parameter.t…...

编程日记 2024/3/9 5:08:21

快速收集诊断信息，敏捷诊断工具obdiag应用实践——《OceanBase诊断系列》之三

1. 前言 作为OceanBase的敏捷诊断工具，obdiag具有以下特点： 部署便捷：提供rpm包和OBD上部署的模式，都能够一键部署安装。用户可以选择将其部署到集群中任意一台能连接到各个节点的设备上，而不仅限于OBServer节点。即…...

编程日记 2024/3/9 5:07:20

C++错误总结（1）

1.定义函数类型时，如果没有返回值，用void void swap(int &x, int &y){ int tem x; x y; y tem; } 2.输入时，不加换行符 cin >> a >> b >> c >> endl ;(红色标记的是错误的部分) 3.【逆序出入…...

编程日记 2024/3/9 5:05:19

std::shared_from_this注意事项：exception bad_weak_ptr

1.不可以在构造函数中调用shared_from_this() 因为它的实现是&#xff1a; _LIBCPP_INLINE_VISIBILITYshared_ptr<_Tp> shared_from_this(){return shared_ptr<_Tp>(__weak_this_);}也就是它依赖的__weak_this_此时还未创建完成。 2.一定要public继承 class MyTy…...

编程日记 2024/3/9 5:03:14

【工具】Raycast – Mac提效工具

引入 以前看到同事们锁屏的时候&#xff0c;不知按了什么键&#xff0c;直接调出这个框&#xff0c;然后输入lock屏幕就锁了。 跟我习惯的按Mac开机键不大一样。个人觉得还是蛮炫酷的&#xff5e; 调研 但是由于之前比较繁忙&#xff0c;这件事其实都忘的差不多了&#xff0…...

编程日记 2024/3/9 5:00:11

蓝桥杯集训·每日一题2024 （二分，双指针）

前言&#xff1a; 开学了&#xff0c;平时学习的压力也逐渐大起来了&#xff0c;不过还算可以接受&#xff0c;等到后面阶段考的时候就不一样了&#xff0c;我目前为了转专业退选了很多课&#xff0c;这些课我都需要花时间来刷绩点&#xff0c;不然保研就没有竞争力了。我自己会…...

编程日记 2024/3/9 4:58:09

在Linux（Ubuntu）中使用终端编译 vscode安装

文章目录 &#x1f4da;在Linux&#xff08;Ubuntu&#xff09;中使用终端编译&#x1f407;.cpp程序编译&#x1f407;.py程序编译&#x1f407;查看Python、C编程环境 &#x1f4da;vscode安装 &#x1f4da;在Linux&#xff08;Ubuntu&#xff09;中使用终端编译 虚拟机安装…...

编程日记 2024/3/9 4:56:06

官网正在被哪些产品蚕食，定制网站又被哪些建站产品挤占。

2023-12-09 16:22贝格前端工场 官网建设是一个被大多数人看衰的市场&#xff0c;本文来理性分析下&#xff0c;谁在蚕食这个市场&#xff0c;谁又在挤占这个产品生存空间&#xff0c;欢迎大家评论&#xff0c;探讨。 网站正在被以下产品形式取代&#xff1a; 1. 移动应用&…...

编程日记 2024/3/9 4:55:05

BUUCTF---[MRCTF2020]你传你呢1

1.题目描述 2.打开题目链接 3.上传shell.jpg文件&#xff0c;显示连接成功&#xff0c;但是用蚁剑连接却连接不上。shell文件内容为 <script languagephp>eval($_REQUEST[cmd]);</script>4.用bp抓包&#xff0c;修改属性 5.需要上传一个.htaccess的文件来把jpg后缀…...

编程日记 2024/3/9 4:54:04

vite+vue3门户网站菜单栏动态路由控制

门户网站用户端需要分板块展示&#xff0c;板块内容由管理端配置&#xff0c;包括板块名称&#xff0c;访问路径&#xff0c;路由组件&#xff0c;展示顺序&#xff0c;是否展示。如下图所示&#xff1a; 用户访问门户网站时&#xff0c;展示菜单跳转通过板块配置&#xff0c;动…...

编程日记 2024/3/9 4:52:02

【C语言】linux内核packet_setsockopt

一、中文注释 // 发送数据包函数。它尝试通过特定的网络设备队列直接传输一个skb&#xff08;socket缓冲区&#xff09;。 static int packet_direct_xmit(struct sk_buff *skb) {return dev_direct_xmit(skb, packet_pick_tx_queue(skb)); // 调用dev_direct_xmit函数&#x…...

编程日记 2024/3/9 4:47:58

LeetCode的使用方法

LeetCode的使用方法 一、LeetCode是什么&#xff1f;1.LeetCode简介2.LeetCode官网 二、LeetCode的使用方法1.注册账号2.力扣社区力扣编辑器 2.1 讨论发起讨论参与讨论关注讨论 2.2 文章撰写文章关注文章 3.力扣面试官版测评面试招聘竞赛 4.力扣学习LeetBook 书架我的阅读猜您喜…...

编程日记 2024/3/9 4:46:57

Vue事件处理:.passive修饰符与应用场景

.passive修饰符 passive这个修饰符会执行默认方法。你们可能会问&#xff0c;明明默认执行为什么会设置这样一个修饰符。这就要说一下这个修饰符的本意了。 浏览器只有等内核线程执行到事件监听器对应的JavaScript代码时&#xff0c;才能知道内部是否会调用preventDefa…...

编程日记 2024/3/9 4:44:53