极受欢迎的WordPress插件文件管理器本周收到了一个补丁，以解决被积极利用的零日漏洞。

文件管理器旨在为WordPress站点管理员提供针对文件和文件夹的复制/粘贴，编辑，删除，下载/上传和存档功能，文件管理器具有超过700,000个活动安装。  

有CVSS评分为10评估中，最近发现关键的安全漏洞可能允许攻击者上传文件和对受影响的部位，Seravo，其中发现的bug远程执行代码，揭示。

托管服务说6.9之前的文件管理器版本会受到影响，并且禁用插件不会阻止利用。

Seravo说：“我们紧急建议所有人使用最新的WP File Manager 6.9以下的版本更新到最新版本或卸载该插件。”

Seravo透露，一旦被发现，僵尸网络便利用了该安全漏洞。

发现问题出在elFinder项目的代码中，elFinder项目是一个旨在为Web应用提供文件浏览器GUI的框架。该代码是作为示例发布的，但已添加到WordPress插件中，为攻击者提供了未经授权的文件上传访问权限。

根据Wordfence的说法，该插件将“ elFinder库的connector.minimal.php.dist文件的扩展名重命名为.php，因此即使文件管理器本身未使用该连接器文件，也可以直接执行该扩展名。”

没有直接访问限制，该文件可以暴露给任何人，但是elFinder中的内置保护可防止目录遍历，从而仅将利用限制为plugins / wp-file-manager / lib / files /目录。

因此，Wordfence解释说，观察到的攻击利用上载命令将包含Web外壳的 PHP文件拖放到wp-content / plugins / wp-file-manager / lib / files /目录中。

该公司还透露，在过去的几天中，已经观察到将近半百万次利用此漏洞的尝试，但这些似乎是对尝试的尝试，只有在此之后才注入恶意文件。

攻击者可以使用这些类型的漏洞来获得对网站的特权访问，并植入恶意java script代码，这些java script代码可以窃取用户数据，传播恶意软件或将用户劫持到邪恶的站点。网站所有者需要使用强大的多因素身份验证来保护其网站，以最大程度地减少大数据泄露的可能性。消费者必须继续保护自己的个人数据，并监视其信用记录中是否存在欺诈迹象，” PerimeterX的安全宣传员Ameet Naik在一封电子邮件中表示。