平台
wordpress
组件
post-grid
修复版本
2.3.4
Post Grid and Gutenberg Blocks 插件存在一个权限提升漏洞，影响版本 2.2.85 到 2.3.3。该漏洞源于插件在用户注册过程中未能正确限制可更新的用户元数据。攻击者可以利用此漏洞，在未经身份验证的情况下注册为管理员，从而获得对网站的完全控制权。此漏洞已于 2025 年 1 月 15 日公开。
该漏洞的影响非常严重，因为它允许未经身份验证的攻击者直接注册为网站管理员。一旦成功，攻击者可以完全控制受影响的 WordPress 网站，包括修改内容、安装恶意软件、窃取敏感数据，甚至完全接管网站。这种攻击模式可能导致严重的财务损失、声誉损害和法律责任。由于该漏洞无需身份验证即可利用，因此攻击者可以轻松地大规模扫描和利用易受攻击的网站。
该漏洞已公开披露，并且由于其严重性和易利用性，可能成为攻击者的目标。目前尚未发现公开的利用程序，但考虑到漏洞的严重性，预计很快会出现。建议密切关注安全社区的动态，并及时采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录。
Websites using the ComboBlocks plugin, particularly those with open user registration enabled, are at significant risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Sites with legacy WordPress configurations or those that haven't implemented robust security practices are particularly vulnerable.
• wordpress / composer / npm:
wp plugin list | grep ComboBlocks• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r 'update_user_meta' /var/www/html/wp-content/plugins/combo-blocks/• wordpress / composer / npm:
wp option get siteurl• wordpress / composer / npm:
wp option get homedisclosure
漏洞利用状态
EPSS
0.76% (73% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 Post Grid and Gutenberg Blocks 插件升级到修复版本。如果升级会导致网站中断，可以考虑回滚到之前的稳定版本，并实施额外的安全措施，例如限制用户注册权限和加强密码策略。此外，可以使用 Web 应用防火墙 (WAF) 或代理服务器来阻止可疑的注册请求。建议定期审查用户注册日志，以检测任何异常活动。
将 Post Grid and Gutenberg Blocks 插件更新到可用的最新版本。这将修复允许未授权用户注册为管理员的权限提升漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-9636 是 Post Grid and Gutenberg Blocks 插件的一个权限提升漏洞，允许未经身份验证的攻击者注册为管理员。
如果您正在使用 Post Grid and Gutenberg Blocks 插件的版本 2.2.85 到 2.3.3，则您可能受到此漏洞的影响。
立即将 Post Grid and Gutenberg Blocks 插件升级到修复版本。如果升级导致问题，请考虑回滚并实施其他安全措施。
虽然目前尚未发现公开的利用程序，但由于漏洞的严重性，预计很快会出现。
请访问 Post Grid and Gutenberg Blocks 插件的官方网站或 WordPress 插件目录，查找有关此漏洞的公告。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。