WooCommerce严重漏洞威胁在线商店安全
用于 WordPress 的电商插件 WooCommerce 曝出严重漏洞，攻击者可借此完全控制网站。据 “Hacker”门户 报道，WooCommerce是电商领域最受欢迎的插件之一，用户超400万。
发现该漏洞的 RIPS Technologies 专家指出两个核心问题：
- 权限过高：拥有“Shop Manager”角色的用户具备 edit_users 权限。此权限允许编辑任何帖子及所有WordPress用户（含管理员）资料。虽然系统设有常规限制，但一旦禁用WooCommerce，所有限制即刻失效，“商店经理”可执行任意操作。
- 文件删除风险：“Shop Manager”用户可删除任意插件文件，包括关键运行文件。这将导致插件停止工作并被WordPress自动禁用。
在上述情况下，攻击者极易接管管理员账户并控制整个网站。有关问题详情及解决方案，请参阅 RIPS Technologies 报告。
回顾：此前有消息称，自2018年12月起，大多数使用WordPress引擎的网站将面临安全威胁。原因是PHP 5.6和7.0版本将不再接收安全更新，而这两个版本仍被57.1%的网站所使用。