前端仪表盘 <= 2.2.4 - 认证 (订阅者+) 任意函数调用

该漏洞的潜在影响非常严重。攻击者可以利用它来执行任意代码，从而完全控制受影响的WordPress站点。攻击者可以更改用户密码，提升自身权限，访问敏感数据，甚至完全接管站点。由于Frontend Dashboard插件通常用于管理站点内容和用户，因此该漏洞可能导致大规模的数据泄露和站点破坏。攻击者可能利用该漏洞进行横向移动，攻击同一网络中的其他系统。该漏洞的严重性与Log4Shell类似，因为它允许攻击者在未经授权的情况下执行代码。

Websites using the Frontend Dashboard plugin, particularly those with subscriber-level users who have access to the frontend dashboard functionality, are at risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'ajax_request(' /var/www/html/wp-content/plugins/frontend-dashboard/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'frontend-dashboard'

• wordpress / composer / npm:

wp plugin update frontend-dashboard --version=2.2.5

• generic web: Check WordPress plugin directory for reports of exploitation or discussions related to CVE-2024-8268.

1. 2024-09-10Disclosure

   disclosure

1. 已保留2024-08-28
2. 发布日期2024-09-10
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将Frontend Dashboard插件升级到2.2.5版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制用户权限，只授予必要的访问权限；禁用Frontend Dashboard插件的ajax_request()功能（如果可能）；使用Web应用防火墙（WAF）来阻止恶意请求；监控Frontend Dashboard插件的日志文件，查找可疑活动。升级后，请确认插件版本已成功更新，并测试站点功能是否正常。