近日，超過700000個網(wǎng)站所使用的WordPress GDPR Cookie Consent插件修復了一個高危漏洞，可讓攻擊者非法刪除和更改網(wǎng)站內容，并往網(wǎng)站注入惡意JS代碼（由于訪問控制不當）。

GDPR Cookie Consent plugin可幫助網(wǎng)站管理員展示可定制的位于頁眉或頁腳的Cookie項目，以顯示其網(wǎng)站符合歐洲所指定的數(shù)據(jù)保護法律GDPR的要求。

這個由WebToffee維護的插件也是WordPress插件庫中最受歡迎的100個插件之一，根據(jù)其WordPress庫的實時安裝數(shù)，有超過700000個站點使用了它。

WordPress中的跨站腳本和權限提升

這個漏洞被認為是高危，但目前還沒有CVE的ID，主要影響1.8.2或更早的版本。WebToffee在2月10日發(fā)布了最新的1.8.3版本，而在六天前，NinTechNet的安全研究員Jerome Bruandet向插件開發(fā)者報告了這個漏洞。

WordPress安全公司W(wǎng)ordFence在WebToffee修補了這個漏洞后，也發(fā)現(xiàn)了這個漏洞。該公司表示，這個漏洞可讓訂閱級別的用戶執(zhí)行一些可能危及網(wǎng)站安全的操作。

Bruandet表示，通過認證的用戶，比如普通訂閱者，可以通過將他們的狀態(tài)從published改為draft，將現(xiàn)有的頁面或文章下線。

這個漏洞是由cli_policy_generatorAJAX調用中的訪問控制缺陷所導致的，它可讓訂閱者接觸到get_policy_pageid、autosave_contant_data和save_contentdata等敏感操作。

例如autosave_contant_data方法用于管理員在后臺保存GDPR cookie信息頁面的數(shù)據(jù)。由于它會將數(shù)據(jù)保存到cli_pg_content_data這個數(shù)據(jù)庫字段而不經過任何安全驗證，導致攻擊者可往其中注入惡意JS代碼，實現(xiàn)XSS攻擊。

在補丁版本發(fā)布后的近兩天里，已經有76000多用戶更新了他們的網(wǎng)站，但還有60多萬用戶仍未有所動作。