WordPress法律合规插件存在安全漏洞
WordPress法律合规插件曝出漏洞，这意味着黑客可以利用这些漏洞来攻击您的网站。为了保护您的网站安全，您应该尽快更新您的WordPress法律合规插件。此外，您还可以采取以下措施来提高您的网站安全性： 1. 定期备份您的网站数据。 2. 使用强密码并定期更改它们。 3. 安装并启用防火墙和安全插件。 4. 限制对敏感文件和目录的访问权限。 5. 定期检查您的网站日志以查找任何可疑活动。 6. 如果您的网站被黑客攻击，请立即联系专业人士进行修复。
近日，超过700000个网站所使用的WordPress GDPR Cookie Consent插件修复了一个高危漏洞，可让攻击者非法删除和更改网站内容，并往网站注入恶意js代码（由于访问控制不当）。
GDPR Cookie Consent plugin可帮助网站管理员展示可定制的位于页眉或页脚的Cookie项目，以显示其网站符合欧洲所指定的数据保护法律GDPR的要求。
这个由WebToffee维护的插件也是wordpress插件库中最受欢迎的100个插件之一，根据其WordPress库的实时安装数，有超过700000个站点使用了它。
WordPress中的跨站脚本和权限提升
这个漏洞被认为是高危，但目前还没有CVE的ID，主要影响1.8.2或更早的版本。WebToffee在2月10日发布了最新的1.8.3版本，而在六天前，NinTechNet的安全研究员Jerome Bruandet向插件开发者报告了这个漏洞。
WordPress安全公司WordFence在WebToffee修补了这个漏洞后，也发现了这个漏洞。该公司表示，这个漏洞可让订阅级别的用户执行一些可能危及网站安全的操作。
Bruandet表示，通过认证的用户，比如普通订阅者，可以通过将他们的状态从published改为draft，将现有的页面或文章下线。
这个漏洞是由cli_policy_generatorAJAX调用中的访问控制缺陷所导致的，它可让订阅者接触到get_policy_pageid、autosave_contant_data和save_contentdata等敏感操作。
例如autosave_contant_data方法用于管理员在后台保存GDPR cookie信息页面的数据。由于它会将数据保存到cli_pg_content_data这个数据库字段而不经过任何安全验证，导致攻击者可往其中注入恶意JS代码，实现XSS攻击。
在补丁版本发布后的近两天里，已经有76000多用户更新了他们的网站，但还有60多万用户仍未有所动作。
