【漏洞预警】WordPress UpDraftPlus任意文件下载漏洞

1. 通告信息

近日，安识科技A-Team团队监测到一则WordPress UpDraftPlus任意文件下载漏洞的信息，当前官方已发布受影响的补丁。

对此，安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作，以免遭受黑客攻击。

 

2. 漏洞概述

CVE-2022-0633

由于UpdraftPlus无法正确验证用户是否具有访问备份的随机数标识符所需的权限，这可能允许任何在网站上拥有帐户的用户（如订阅者）下载最新的站点和数据库备份。

3. 漏洞危害

可能允许攻击者获取任何在网站上拥有帐户的用户（如订阅者）下载最新的站点和数据库备份。

 

4. 影响版本

UpdraftPlus 版本1.16.7 - 1.22.2（免费版）

 

5. 解决方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：https://wordpress.org/plugins/updraftplus/

 

6. 时间轴

【-】2022年2月21日 安识科技A-Team团队监测到WordPress官方发布安全补丁

【-】2022年2月21日 安识科技A-Team团队根据官方公告分析

【-】2022年2月21日 安识科技A-Team团队发布安全通告