WordPress 5.1.1 在几天前就发布了，其中包含5.1及以前版本中发现的关键跨站点脚本漏洞的重要安全更新。发布帖称RIPS科技公司的Simon Scannell发现并报告了该漏洞。Scannell发布了一篇文章，总结了未经身份验证的攻击者如何接管任何启用了评论的WordPress网站：
攻击者可以通过欺骗目标博客的管理员访问攻击者设置的网站来接管任何启用了评论的WordPress网站。一旦受害管理员访问恶意网站，就会在后台针对目标WordPress博客运行跨站点请求伪造（CSRF）漏洞，而不会受到受害者的注意。CSRF漏洞利用了多个逻辑缺陷和清理错误，这些错误在组合时会导致远程执行代码和完整的站点接管。
由于WordPress默认启用了评论，因此攻击者可以使用默认设置在任何站点上利用此漏洞。自动更新已经推送了，但是建议禁用后台更新的管理员立即更新。此外，如果你还在使用其他版本，比如 4.9.x，也请升级到该版本的最新子版本！
WordPress 5.1.1 版本还提供了一个通知按钮，提示用户在 WordPress 5.2 发布前更新到要求的最低PHP版本。可以过滤“更新PHP”通知以更改建议的版本。
预计版本5.1.2将在两周内完成。
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
