最流行的一个Wordpress插件WP Statistics中出现了一个SQL注入漏洞，可被黑客用于窃取数据库并可能远程劫持受影响站点。目前该插件安装在30多万个网站上。
WP Statistics插件能让网站管理员获知网站的在线用户数量信息、访问数量和访客量和页面数据。这个漏洞是Sucuri团队发现的。这个插件能让远程攻击者至少通过一个订阅用户账户从网站的数据库窃取信息并可能获取对网站的未经授权访问权限。
这个漏洞存在于WP的多个功能中，包括wp_statistics_searchengine_query()。
研究人员指出，漏洞是由用户提供的数据缺乏清洁度造成的。一些短代码wpstatistics属性被当做重要功能的参数进行传递，如果这些参数是清洁的话就会出现问题。其中存在于文件 'includes/functions/functions.php'中一个易受攻击的功能wp_statistics_searchengine_query()可通过WordPress的AJAX功能访问，原因存在于核心功能wp_ajax_parse_media_shortcode()中。
这个功能不会检测额外权限，这样网站订阅用户就能执行这个断码并将恶意代码注入到属性中。
Sucuri将这个漏洞私下告知WP数据团队，后者在最新的WP Statistics 12.0.8版本中予以修复。因此强烈建议用户更新至最新版本。
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士www.codesafe.cn”。
