WordPress插件WP Cost Estimation因漏洞被恶意利用

过去几个月，商业WordPress插件WP Cost Estimation一直受到黑客的攻击。黑客们利用这些插件中的旧漏洞闯入网站并植入后门。这些持续的攻击首先被Defiant发现，他是Wordfence防火墙插件的幕后工作者。

受影响的插件

最新的漏洞会影响WP成本估算和付款表单生成器。它是WordPress的商业插件，主要帮助用户构建以电子商务为中心的表单。该插件已在CodeCanyon市场上销售了五年。

在接受媒体采访时，来自Defiant的威胁分析师Mikey Veenstra表示，黑客利用该网站劫持传入流量并将其引导至其他网站。

漏洞利用的详细信息

在Wordfence官方门户的一份报告中，Veenstra和Defiant的团队解释了该漏洞的细节。黑客在插件的上传功能中滥用了与AJAX相关的缺陷。这使他们能够在目标网站上保存具有无意义扩展名的文件。下一步是让他们上传与非标准文件扩展名相关联的.htaccess文件和PHP解释器。它确保了当他们以后访问它时，PHP代码将执行并激活后门。

易受攻击的版本

根据Wordfence，v9.644之前的所有版本的WP Cost Estimation插件都容易受到这些攻击。好消息是，在有人抱怨他们的网站被黑客攻击后，开发人员在2018年10月修复了新版本v9.644的漏洞。

然而，开发人员没有公开披露这个安全问题，只是发表了一个小小的CodeCanyon评论。这意味着许多用户没有意识到他们的网站所处的危险。

商业插件通常被安全专家视为一种不建议购买的隐患，因为它们经常在几个月或几年之后就被抛弃了。而这些插件还在用户的设备中，需要不定期修复更新的安全问题却无人过问。