PageLayer WordPress插件中的两个安全漏洞可被利用来潜在地擦除内容或接管WordPress网站。
WordFence的安全人员在PageLayer WordPress插件中发现了两个高度严重的安全漏洞，这些漏洞可能允许攻击者使用易受攻击的插件版本擦除内容或接管WordPress网站。
PageLayer是WordPress页面构建器插件，它非常易于使用，根据其WordPress插件存储库条目上的可用数量，实际上有超过200,000个活动安装 。
Wordfence威胁情报团队已于4月30日将该漏洞报告给PageLayer的开发人员，并于5月6日发布了1.1.2版。
一个漏洞可能允许具有订户级及更高权限的经过身份验证的用户更新和修改帖子。
Wordfence发表的帖子中写道：“一个缺陷使具有订户级及更高权限的任何经过身份验证的用户都能够更新和修改带有恶意内容的帖子，”
第二个漏洞可能允许攻击者代表站点管理员伪造一个请求，以更改允许注入恶意Javascript的插件设置。
这两个漏洞都是由于未保护的AJAX操作，随机数披露以及缺乏跨站请求伪造（CSRF）保护所导致的。攻击者可能利用这些漏洞来注入恶意JavaScript代码，更改站点页面，创建流氓管理员帐户，将站点访问者重定向到恶意站点，以及利用站点用户的浏览器来破坏其计算机。
WordFence专家于4月30日向PageLayer的开发人员报告了此问题，并于5月6日发布了1.1.2版，解决了这两个问题。
开发人员对所有敏感功能实施了权限检查，这些功能可以允许更改站点，并重新配置插件以为WordPress站点的公共和管理区域创建单独的随机数。
截止当日，还有十万多个WordPress网站仍在使用易受攻击的PageLayer插件版本。
当涉及利用漏洞的WordPress攻击时，恶意行为者通常将未修补的插件作为目标，因此，必须使它们保持最新。
