WordPress社群再次發出警報，因為 兩個廣泛使用的插件存在漏洞 這可能會危及數千個網站的安全。其中一個漏洞影響反惡意軟體安全和暴力破解防火牆插件；另一個漏洞影響流行的 Elementor 插件包 King Addons。
在這兩種情況下 更新現已發布。 專家建議立即安裝這些插件。雖然每個插件的影響各不相同，但它們都有一個共同點：攻擊者可能未經授權存取伺服器資源或 掌控網站 如果補丁沒有套用。
反惡意軟體安全與暴力破解防火牆：檔案讀取漏洞 (CVE-2025-11705)
這款反惡意軟體安全插件擁有超過 100.000 萬次的安裝量，但存在一個被追蹤為 [漏洞編號] 的漏洞。 CVE-2025，11705 這使得即使擁有訂閱者身分的已認證使用者也能從伺服器讀取檔案。問題的根源在於其內部函數。 GOTMLS_ajax_scan()在處理 AJAX 請求時，缺乏足夠的能力驗證。
該漏洞是由研究人員發現的。 德米特里·伊格納季耶夫 並已通報 Wordfence 威脅情報團隊。由於令牌（隨機數）管理， 缺乏權限控制任何擁有有效登入資訊的帳戶都可以啟動掃描並存取敏感內容。
其中最誘人的目標是… wp-config.php文件此文件儲存資料庫憑證和驗證金鑰。攻擊者可以利用這些資訊執行諸如以下操作： 竊取資料、操縱內容 或嘗試在同一基礎設施內進行新的措施。
插件開發者，被稱為 禮發布了修正版本 4.23.83，增加了以下功能 GOTMLS_kill_invalid_user() 在處理請求之前驗證能力。 Wordfence 表示，就目前而言， 未觀察到任何主動攻擊。但是，如果判決沒有及時更新，公佈判決會增加被利用的風險。
- 十月14日： 透過 WordPress.org 安全團隊通知開發者。
- 十月15日： 發布版本 4.23.83，增強了容量控制。
- 補丁下載： 大約有 50.000 個安裝已更新；如果不應用此修復程序，類似數量的安裝仍可能存在風險。
攻擊向量在以下網站中特別重要： 用戶註冊開放 （論壇、會員、新聞通訊等），創建權限最低的帳戶的門檻非常低。
Elementor 的 King 外掛程式：檔案上傳與權限提升
商業附加元件 King Addons —它透過小部件和模板擴展了 Elementor—存在 Patchstack 記錄的兩個嚴重缺陷：未經身份驗證的任意檔案載入（CVE-2025，6327（嚴重程度 10/10）以及透過以下方式提升權限： 註冊終點 (CVE-2025，6325嚴重程度 9,8/10）。
根據該公告，這兩個漏洞都是 在常見配置中很容易被利用 這可能導致網站完全被接管或資料被盜。製造商發布了該版本 51.1.37它引入了允許的角色清單、輸入清理以及需要適當權限的負載管理器，並且 嚴格有效 文件類型。
King Addons擁有超過10.000個活躍安裝量，用於加速頁面設計。正因如此， 盡快套用補丁 這是防止惡意行為者上傳危險檔案或將權限提升到超出其應有權限的帳戶的關鍵。
如果不更新，攻擊者能達到什麼目的？
由於上述缺陷，攻擊者可以串聯起一系列步驟，從… 默讀訊息 直至完全控制該網站。存取使用者上傳的配置、資料庫或目錄，將帶來一系列可能性。
- 竊取密碼雜湊值 並發動離線暴力破解攻擊。
- 擷取個人數據 （電子郵件、個人資料）可能涉及隱私問題。
- 修改輸入或註入程式碼 散佈垃圾郵件或惡意軟體。
- 安裝後門 即使經過部分清潔，污漬仍然存在。
- 橫向移動 在共享主機上與其他網站連接到同一伺服器上。
對西班牙和歐盟其他地區的影響和義務
對於位於西班牙或歐盟的管理員而言，個人資料外洩可能會觸發以下義務： RGPD包括影響評估，並在適當情況下通知相關部門和使用者。應檢討內部政策，並 活動日誌 如果懷疑存在未經授權的訪問，請確認您的網站是否… WordPress.org 或 WordPress.com.
無需誇張，但謹慎起見，優先考慮以下網站是明智之舉： 賬號註冊 或私人區域，因為反惡意軟體故障中的身份驗證要求在許多入口網站上都透過非常基本的設定檔來滿足。
建議管理員採取的措施
首先 將反惡意軟體更新至 4.23.83 版本 以及 51.1.37 的 King Addons。這一步驟從根源切斷了已知的攻擊向量，並立即減少了攻擊面。
- 撤銷會議 補丁發布後，代幣可能會出現問題，尤其是在開放註冊的網站上。
- 審查日誌 透過存取和文件上傳來尋找異常活動。
- 收緊許可證 如果並非必要，則停用使用者註冊。
- 限制執行 在上傳目錄中，並在伺服器上驗證 MIME 類型。
- 備用 已核實並更新的事件回應計畫。
此外，它還評估監控解決方案（WAF、黑名單、即時警報）和策略。 最低特權 用於管理帳戶和外部服務。
靜止影像清晰可見：有補丁可用， 最好的防禦措施就是立即更新。認真行事、檢查記錄、加強管控，可以避免小事故演變成更嚴重的事件。
