WordPress主题Avada修补了任意文件上传漏洞-搬主题

AI 智能摘要

ThemeFusion 的多用途 WordPress 主题 Avada 已修补了任意文件上传漏洞。Avada 是 ThemeForest 最受欢迎的高级主题之一，销量接近 950K。

ThemeFusion 的多用途 WordPress 主题 Avada 已修补了任意文件上传漏洞。Avada 是 ThemeForest 最受欢迎的高级主题之一，销量接近 950K。建议尽快更新。搬主题已更新到了7.11.6版本。

Avada 7.11.6完美中文汉化版|多功能自定义高级外贸WordPress跨境电商企业主题模板

2年前

047617

该漏洞是由 Muhammad Zeeshan (Xib3rR4dAr) 在 Wordfence 的 Bug Bounty Extravaganza 活动中负责任地报告的，他因此获得了 2,751 美元。研究人员将其归类为 “高严重性 “问题，CVSS 得分为 8.8，并强烈建议更新该主题。

在 7.11.4 及之前的所有版本中，由于 ajax_import_options() 函数中缺少文件类型验证，WordPress 的 Avada | Website Builder For WordPress & WooCommerce 主题存在任意上传文件的漏洞。这使得拥有贡献者级别及以上访问权限的验证攻击者有可能在受影响网站的服务器上上传任意文件，从而有可能执行远程代码。

该漏洞的性质允许攻击者上传任意恶意 PHP 代码，并在服务器上远程执行代码。即使上传的文件被删除，攻击者仍然可以上传多个大文件，因为对文件扩展名没有限制。

Muhammad Zeeshan 于 2 月 6 日联系了 ThemeFusion 团队，并于 2 月 12 日发布了该主题的补丁版本。我们敦促所有 Avada 用户立即将其网站更新到最新的 7.11.5 版主题。

① 本站文章均为原创，除非另有说明，否则本站内容依据CC BY-NC-SA 4.0许可证进行授权，转载请附上出处链接，谢谢。
② 本站提供的资源(插件或主题)均为网上搜集，如有涉及或侵害到您的版权请立即通知我们。
③ 本站所有下载文件，仅用作学习研究使用，请下载后24小时内删除，支持正版，勿用作商业用途。
④ 因代码可变性，不保证兼容所有浏览器、不保证兼容所有版本的WP、不保证兼容您安装的其他插件。
⑤ 本站保证所提供资源(插件或主题)的完整性，但不含授权许可、帮助文档、XML文件、PSD、后续升级等。
⑥ 使用该资源(插件或主题)需要用户有一定代码基础知识！另本站提供汉化使用安装教程，仅供参考。由本站提供的资源对您的网站或计算机造成严重后果的本站概不负责。
⑦ 有时可能会遇到部分字段无法汉化，同时请保留作者汉化宣传信息，谢谢！
⑧ 本站资源售价只是赞助和汉化辛苦费，收取费用仅维持本站的日常运营所需。
⑨ 如果喜欢本站资源，欢迎捐助本站开通会员享受优惠折扣，谢谢支持！
⑩ 如果网盘地址失效，请在相应资源页面下留言，我们会尽快修复下载地址。

THE END