四川嘉行科技有限公司歡迎您

新聞中心

NEWS CENTER

028-85520929

歡迎您來電咨詢
現(xiàn)在的位置:首頁 > 新聞中心 > 行業(yè)新聞 > 詳情

【風(fēng)險通告】WordPress School Management Pro插件后門漏洞(CVE-2022-1609)

  風(fēng)險概述

2022年5月20日,WordPress插件School Management Pro被披露存在一個可執(zhí)行任意PHP代碼的后門漏洞(CVE-2022-1609),其CVSS評分為10.0。

 

  攻擊詳情

School Management 系統(tǒng)是Weblizar公司開發(fā)的一個WordPress插件,主要用于教育與學(xué)習(xí)管理,該公司表示其高級和免費WordPress主題和插件的客戶超過340,000。

School Management Pro版本9.9.7之前存在一個后門漏洞,允許在未經(jīng)身份驗證的情況下在安裝了該插件的站點上執(zhí)行任意PHP 代碼,并最終完全控制網(wǎng)站。

該漏洞的攻擊復(fù)雜度低,且無需特殊權(quán)限和用戶交互即可被遠程利用。目前此漏洞的PoC代碼已公開:

該漏洞僅影響了School Management Pro(專業(yè)版),沒有打包許可代碼的免費版SchoolManagement不受影響。

 

 風(fēng)險等級

高危。

 

 影響范圍

School Management Pro 版本< 9.9.7

 

 安全建議

目前此漏洞已經(jīng)修復(fù),建議任何安裝了School Management Pro 9.9.7 之前版本的站點立即升級更新到9.9.7或更高版本。

下載鏈接:

https://weblizar.com/plugins/school-management/

 

 參考鏈接

https://jetpack.com/blog/backdoor-found-in-the-school-management-pro-plugin-for-wordpress/

https://wordpress.org/plugins/school-management-system/

https://thehackernews.com/2022/05/researchers-find-backdoor-in-school.html

 

 版本信息

版本

日期

修改內(nèi)容

V1.0

2022-05-23

首次發(fā)布


來源: 維他命 維他命安全