WordPress外挂Popup Builder含有可被接管的安全漏洞，影响逾10万网站

WordPress的安全插件开发团队Wordfence在本周指出，热门的WordPress插件Popup Builder含有一个安全漏洞，将允许骇客接管WordPress网站，且波及超过10万个网站，Wordfence呼吁Popup Builder用户，应尽速更新到已修补的版本。

Popup Builder允许用户透过拖曳来建立跳出视窗，以吸引造访者的目光，内容可能是新产品、优惠方案或订阅服务，有超过10万个WordPress网站安装这个插件。

不过，Wordfence的威胁情报团队在3月初发现，该插件含有许多漏洞，其中一个漏洞，允许骇客在Popup Builder所发表的任何视窗，注入恶意的JavaScript，以在载入的时候执行。另一个漏洞则允许任何登入的使用者，就算是拥有最小权限的订阅用户，都能汇出订阅者名单、系统配置资讯，或是允许他们存取该插件的各种功能。

研究人员说明，在第一个允许骇客注入恶意JavaScript的漏洞中，通常是用来将使用者导至其它的恶意网站，或者是窃取使用者浏览器中的机密资讯，但假设是一个网站管理员在登入时，造访或预览了含有该恶意视窗的页面，骇客便有可能接管他的网站。

Wordfence在今年3月4日提报了相关漏洞之后，Popup Builder已于3月11日释出了修补所有漏洞的 3.64.1版。