在 SEOPress WordPress 插件中发现的跨站点脚本 (XSS) 缺陷可能允许攻击者将任意 Web 脚本注入易受攻击的安装并接管网站。SEOPress 是一种流行的SEO 插件 ，专为运行WordPress 的网站而设计，并在大约 100,000 个网站上使用。
该漏洞是由WordPress的安全专家发现Wordfence，上个月谁把它带到了插件开发者的注意。
“该插件实现的一个功能是能够为帖子添加 SEO 标题和描述，这可以在将编辑内容保存到帖子时或通过新引入的 REST-API 端点来完成。不幸的是，这个 REST-API 端点的实现并不安全，” Wordfence 的威胁分析师Chloe Chamberland写道。
Chamberland 认为，诸如在 SEOPress 中发现的跨站点脚本漏洞可以被利用来执行各种恶意操作，例如创建新的管理帐户、webshell 注入、任意重定向，甚至可以使攻击者接管WordPress网站。
在分享有关该漏洞的技术细节时，Chamberland 写道，任何经过身份验证的用户(例如普通订阅者)都可以利用它来更新任何帖子的 SEO 标题和描述。
“由于缺乏清理或对存储的参数进行转义，有效载荷可能包含恶意 Web 脚本，例如JavaScript，”Chamberland 说，并补充说这些脚本将在用户每次访问“所有帖子”页面时执行。
此漏洞已在 SEOPress v5.0.4 版本中完全修补，Wordfence 敦促该插件的所有用户更新他们的安装。
Mayank Sharma 在 Linux 上有近 20 年的写作和报告经验，他希望每个人都认为他是TechRadar Pro在该主题上的专家。当然，他对其他计算主题也同样感兴趣，尤其是网络安全、云、容器和编码。