| 责编:刘菲菲

据国外安全研究机构sucuri.net的报告称,wordpress的默认主题twentyfourteen存在跨站攻击漏洞。此漏洞允许攻击者使用该主题内置的一个ico图标生成文件(genericons)来进行攻击,研究机构称,漏洞来自此ico图标生成文件,所以任何应用了此功能的主题或者插件都受到了影响,目前已知的有默认主题twentyfourteen和 插件jetpack(安装次数超过100万)受此影响。

漏洞文件

漏洞文件

该漏洞的验证地址如下:

漏洞检验地址

http://yoursiteurl.com/wp-content/themes/twentyfifteen/genericons/example.html#1<img/src=1 onerror=alert(1)>

安全人员建议开启网站防火墙的waf攻击防御措施来抵御此攻击。当然彻底修复该漏洞的方法也很简单,直接删除目录genericons即可避免。

目前godaddy、dreamhost等主机商和公司已经主动修复该漏洞,但截至发稿前从官方网站下载的最新版wordpress4.2.1依然存在此目录和漏洞。