Kadence Blocks插件3.1.11版本修补严重漏洞

Kadence Blocks插件在超过 300,000 个 WordPress 网站上使用，已修复其高级表单块文件上传功能中的一个严重漏洞。2023年8月8日发布的3.1.11版本修复了表单上传的安全问题。

该插件的开发团队在他们的博客上发布了一份公告，并简要描述了该漏洞及其被利用的可能性，从而提前摆脱了这种情况。

Kadence Blocks 3.1 中引入的 Kadence Advanced Form Block 使网站所有者能够向其网站添加文件上传功能。高级表单块中的代码没有足够的测试来限制可以上传的文件类型。这可能允许攻击者上传一个声称是有效图像类型的文件，但实际上包含恶意 PHP 代码。该 PHP 代码可能是恶意的，这样做会接管易受攻击的 WordPress 网站。利用此漏洞需要在服务器级别进行设置，而这将被视为不安全。大多数高级托管提供商会在服务器级别保护上传文件夹免受 PHP 执行的影响，但许多预算托管提供商并不这样做。

Kadence Blocks 开发人员 Ben Ritner 表示，不使用 Advanced Form Block 文件上传功能的网站不会受到此漏洞的影响。目前尚不清楚该漏洞已被利用。

我们鼓励 Kadence Blocks 用户立即更新并检查意外的用户、管理员帐户和内容更改。该通报还包括使文件上传更加安全的方法，包括限制文件类型、添加身份验证和扫描病毒。