在廣泛使用的 WordPress 外掛程式 Forminator，放置超過 600,000 個活躍 WordPress 存在風險的網站。該缺陷 Wordfence 安全研究人員於 2 年 2025 月 XNUMX 日揭露，允許經過身份驗證的攻擊者刪除伺服器上的任意檔案。
Forminator 外掛漏洞是什麼？
此漏洞影響 1.29.3 之前的 Forminator 版本。 Forminator 是一款受歡迎的插件，用於在 WordPress 網站。由於文件上傳功能缺乏適當的輸入驗證，因此擁有訂閱者等級或更高權限的攻擊者可以操縱請求並指示插件刪除伺服器上 Web 伺服器使用者可以存取的任何檔案。
這意味著關鍵 WordPress 核心檔案、主題或外掛程式可能會被刪除，導致網站崩潰或網站徹底癱瘓。
攻擊如何進行？
攻擊者首先需要獲得易受攻擊的伺服器上任何有效使用者帳戶的存取權限 WordPress 網站。一旦通過身份驗證，他們就可以利用 Forminator 上傳端點中不安全的檔案刪除機制來編寫惡意請求。由於許多 WordPress 網站允許使用者註冊（例如會員資格、LMS 或社群網站），甚至訂閱者帳戶也足以發動攻擊。
誰受到影響？
任何 WordPress 執行 Forminator 1.29.3 之前版本的網站有漏洞。
根據 WordPress.org，Forminator 擁有超過 600,000 個活躍安裝，這意味著如果沒有更新，大量網站仍然會暴露在風險中。
允許用戶註冊的網站面臨特別大的風險，因為攻擊者只需建立帳戶並利用該漏洞，而無需管理員權限。
Wordfence 頒發創紀錄的漏洞賞金
鑑於此漏洞的嚴重性，Wordfence 開出了迄今為止最高的賞金：8,100 美元。這筆賞金支付給了透過 Wordfence 漏洞賞金計畫負責任地揭露此漏洞的研究人員。據 Wordfence 稱，這是該計劃歷史上最高的單筆賞金金額。
史無前例的賠償凸顯了漏洞的嚴重性，並強調了負責任的揭露計畫在維護 WordPress 生態系統安全。
網站所有者該做什麼？
Wordfence 建議所有 WordPress 使用 Forminator 的網站擁有者請立即更新至已修復的版本 1.29.3 或更高版本。此更新包含針對該漏洞的修復，並可防止攻擊者利用該漏洞。
除了更新之外，網站所有者還應該：
- 審查使用者帳號： 審核所有用戶註冊，尋找可疑或意外的帳戶。
- 硬化 WordPress 安全： 停用不必要的使用者註冊或使用 CAPTCHA 或電子郵件驗證等工具限制它。
- 使用安全插件： 實施防火牆（例如 Wordfence 或類似的解決方案）來主動阻止惡意流量。
該漏洞是否已被利用？
在 Wordfence 發布報告時，尚無公開證據表明漏洞已被廣泛利用。然而，鑑於該攻擊的簡單性以及獲取訂閱級存取權限的便利性，主動攻擊可能隨時發生。
最後的思考
Forminator 的這個漏洞清楚地提醒了我們主動網站維護和安全的重要性。 WordPress 外掛程式可以為您的網站增添強大的功能，但如果不及時更新，也可能帶來嚴重的風險。一個過時的外掛程式就可能讓攻擊者有機可乘，入侵您的整個網站，損害您的聲譽，甚至抹去您的資料。
At HostScore.net，我們強烈建議您不僅要定期更新插件，還要花時間了解託管服務提供者提供的功能和保護措施，以確保您的網站安全。從 先進 DDoS 保護 至 惡意軟件掃描，現代託管計劃通常帶有安全功能，當出現此類漏洞時，這些功能可以發揮關鍵作用。
想了解如何更好地保護您的網站？查看我們的深度指南， 保護您的網站：您需要了解的基本 Web 託管安全功能。它涵蓋了每個網站所有者應該掌握的關鍵安全工具和實踐，以防範潛在威脅。
