漏洞公开数小时后即遭利用

网络安全研究人员发现，威胁分子正在利用OttoKit WordPress插件（原SureTriggers）中编号为CVE-2025-3102（CVSS评分8.1）的漏洞实施攻击，该漏洞在公开披露后仅数小时就遭到利用。

当插件未配置API密钥时，攻击者可触发该漏洞创建恶意管理员账户。成功利用该漏洞将导致攻击者完全控制WordPress网站，上传恶意插件、篡改内容、传播恶意软件或垃圾信息，并将访问者重定向至恶意网站。

漏洞技术细节

安全公告指出："WordPress的SureTriggers全能自动化平台插件在1.0.78及之前所有版本中，由于'autheticate_user'函数未对'secret_key'值进行空值检查，存在认证绕过漏洞，可导致攻击者创建管理员账户。当插件已安装激活但未配置API密钥时，未经认证的攻击者即可在目标网站上创建管理员账户。"

Wordfence研究人员表示，全球超过10万个网站使用该存在漏洞的插件，但仅部分网站可被利用，因为该漏洞要求插件处于未配置状态。这家WordPress网络安全公司警告称，该漏洞正被活跃利用，强烈建议用户立即更新。

攻击影响范围

该插件原本用于跨站点和应用自动化操作，但代码中的权限检查不完善使得攻击者可利用未配置的网站。若插件密钥未设置且攻击者发送空密钥，即可绕过认证创建管理员账户，实现完全控制。虽然该漏洞主要影响新安装或未配置的环境，但可能与其他漏洞组合实现更广泛利用。

研究人员Michael Mazzolini于2025年3月13日发现该漏洞，开发团队已在2025年4月3日发布的1.0.79版本中修复。PatchStack研究人员确认该漏洞正被积极利用。

当前攻击特征

攻击者正尝试利用该漏洞创建名为"xtw1838783bc"的管理员账户。研究人员观察到攻击者尝试创建具有以下特征的账户：

PatchStack建议："由于攻击特征具有随机性，每次攻击尝试中的用户名、密码和邮箱别名很可能不同。建议使用SureTriggers插件的用户立即更新至最新版本，并检查系统中是否存在可疑账户、新安装插件/主题或内容篡改等入侵痕迹。"

参考来源：

Attackers are exploiting recently disclosed OttoKit WordPress plugin flaw

4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。

本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！

程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）