该漏洞存在于被超过40万家网站使用的WP Reset PRO WordPress插件中

Patchstack(之前称为WebARX)的IT安全研究人员在WP Reset PRO WordPress插件中发现了一个高度严重的安全漏洞，该插件允许“认证”用户删除易受攻击网站的数据。

根据他们的建议，该漏洞可以被攻击者利用，只需访问网站首页，启动WordPress安装过程，就可以清除整个网站的数据库。Patschstack首席执行官奥利弗•希尔德称其为“破坏性漏洞”，主要会给开放注册的电子商务网站带来问题。

值得注意的是，任何经过认证的用户都可以利用该漏洞，无论他们是否被授权，并删除存储在WordPress安装数据库中的所有表，以重新启动WordPress安装过程。这种利用需要攻击者传递一个查询参数，例如“%%wp”，以删除所有带有前缀wp的表。

威胁行动者可以滥用此漏洞在网站上创建管理员帐户，这是完成安装过程所必需的。此外，攻击者可以利用这个新的管理帐户向网站上传恶意插件或安装木马后门。

哪些版本受到影响?

此漏洞被追踪为CVE-2021-36909，影响WP重置插件的高级版本，包括5.98版之前发布的所有版本。该插件旨在帮助管理员重置整个网站或它的某些部分，以执行更快的调试和测试，并从内置快照恢复网站。所有这些都是通过鼠标点击完成的。

请注意，由WebFactory有限公司开发的免费和开源版本的WP Reset，被列在WordPress插件库中，号称有超过30万个活跃安装。据其开发者称，用户数量已经超过40万。

希尔德解释说，这个漏洞可以被利用来访问同一台服务器上的其他网站。

Sild指出:“如果有一个旧网站被遗忘到一个子目录(我们看到很多)，它已经安装了插件，并且服务器环境连接了，那么这将允许访问在相同环境下的其他网站。”

该bug已于2021年9月28日在WP Reset PRO 5.99中修复。因此，如果您还没有这样做，请将插件更新到最新版本。

 （来源：HackRead）