WooCommerce WordPress插件修补了关键漏洞

安装后，WooCommerce扩展程序会创建具有“edit_users”功能的“Shop Managers”帐户，允许他们编辑商店的客户帐户，以便管理他们的订单，配置文件和产品。
在WordPress中，默认情况下，具有“edit_users”功能的帐户甚至可以编辑管理员帐户并重置其密码。 但是为了在管理员和商店经理帐户之间绘制基于权限的界限，WooCommerce插件会给商店经理增加一些额外的限制。

然而，研究人员发现，如果WordPress管理员出于某种原因禁用了WooCommerce插件，其强制限制的配置就会消失，允许Shop Manager帐户编辑并重置管理员帐户的密码。

现在，根据Simon的说法，恶意商店经理可以通过利用WooCommerce日志记录功能中的文件删除漏洞来强制禁用WooCommerce插件。

删除文件后，WooCommerce插件将被禁用，允许店铺经理更新管理员帐户的密码，然后接管整个网站。
安装WooCommerce和WordPress补丁更新
研究人员负责地向管理WooCommerce插件的Automattic安全团队报告了安全问题，该团队于2018年8月30日通过Hackerone管理。该团队承认这些漏洞并在上个月的Woocommerce版本3.4.6中修复了这些漏洞。
如果您尚未更新WordPress和Woocommerce，强烈建议您尽快安装最新的安全更新。