最近在流行的WordPress插件中发现了一个新的危险漏洞。Wordfence的网络安全研究人员发现了Elementor插件中的一个漏洞，该漏洞允许任何经过身份验证的用户上传任意PHP代码。

Elementor是最受欢迎的WordPress插件之一，安装在超过500万个网站上。

该插件最近升级到版本3.6.0，其中引入了一个新的Onboarding模块，其目标是简化插件的初始设置。然而，研究人员发现该模块使用一种“不寻常”的方法来注册AJAX操作，而没有进行能力检查。

分享您对网络安全的看法，并免费获得《2022年黑客手册》。帮助我们了解企业如何为后Covid世界做准备，以及这些活动对其网络安全计划的影响。在本次调查结束时输入您的电子邮件以获取价值10.99美元/10.99英镑的bookazine。

“经过身份验证的用户可以通过多种方式获取Ajax::NONCE_KEY，但最简单的方法之一是以登录用户的身份查看管理仪表板的来源，因为所有经过身份验证的用户都可以看到它，即使对于订阅者级别的用户，”研究人员解释说。

因此，任何登录用户都可以使用任何入职功能。话虽如此，例如，攻击者可以创建一个恶意的“ElementorPro”插件zip，并使用载入功能来安装它。然后，该站点将执行插件中存在的任何代码，包括旨在接管该站点或访问服务器上的其他资源的代码。

好消息是该漏洞在3.6.0之前的任何Elementor版本中都不存在，并且该漏洞的补丁已经可用。

4月12日，团队发布了3.6.3。插件版本，Wordfence敦促所有Elementor用户尽快升级他们的插件。

作为WordPress最受欢迎的插件之一，Elementor通常是漏洞猎人和威胁参与者的目标。

2月初，网络安全研究员WaiYanMuoThet在Elementor插件的EssentialAddons中发现了一个漏洞——这是一个严重的远程代码执行(RCE)漏洞，允许潜在的恶意行为者执行本地文件包含攻击。