WordPress插件Popup Builder含有可被接管的安全漏洞

WordPress的安全插件程序开发团队Wordfence在本周指出，热门的WordPress插件程序Popup Builder含有一个安全漏洞，将允许黑客接管WordPress网站，且波及超过10万个网站，Wordfence呼吁Popup Builder用户，应尽速更新到已修补的版本。

Popup Builder允许用户透过拖曳来建立跳出界面，以吸引造访者的目光，内容可能是新产品、优惠方案或订阅服务，有超过10万个WordPress网站安装这个插件程序。

不过，Wordfence的威胁情报团队在3月初发现，该插件程序含有许多漏洞，其中一个漏洞，允许黑客在Popup Builder所发表的任何界面，注入恶意的JavaScript，以在载入的时候执行。另一个漏洞则允许任何登入的使用者，就算是拥有最小权限的订阅用户，都能汇出订阅者名单、系统配置资讯，或是允许他们存取该插件程序的各种功能。

研究人员说明，在第一个允许黑客注入恶意JavaScript的漏洞中，通常是用来将使用者导至其它的恶意网站，或者是窃取使用者浏览器中的机密资讯，但假设是一个网站管理员在登入时，造访或预览了含有该恶意界面的页面，黑客便有可能接管他的网站。

Wordfence在今年3月4日提报了相关漏洞之后，Popup Builder已于3月11日释出了修补所有漏洞的3.64.1版。