Post SMTP 插件漏洞让 20 万个 WordPress 网站面临劫持风险

据外媒报道，Post SMTP 插件的漏洞给众多 WordPress 网站带来严重安全隐患。

Post SMTP 是一款流行的 WordPress 电子邮件投递插件，活跃安装量超 40 万次。然而，5 月 23 日安全研究人员向 PatchStack 报告其存在漏洞，该漏洞被认定为 8.8 分中等危害。此漏洞影响 Post SMTP 直至 3.2.0 版本，原因是 REST API 端点访问控制机制有缺陷，仅验证登录未检查权限级别。这使得权限低的用户如订阅用户能访问邮件日志，还可在有漏洞网站为管理员账户发起密码重置请求，通过拦截重置邮件获取账户控制权。5 月 26 日插件开发者得知漏洞并提供修复方案，即在函数中加入权限检查。6 月 11 日，修复被纳入 3.3.0 版本发布。
 

但WordPress.org下载统计显示，不到一半（48.5%）用户更新至 3.3 版本，超 20 万个网站易受此漏洞影响。尤其还有 24.2%（96800 个）网站仍运行 2.x 分支版本，存在额外安全漏洞，面临攻击风险 。