Google Site Kit WordPress插件漏洞

在Google的Site Kit WordPress插件中发现了一个漏洞，然后对其进行了修补。

该漏洞使攻击者可以提升站点特权，并攻击受害者的搜索可见性，更改站点地图等。

网站建设

Google Site Kit WordPress插件

该漏洞会影响Google的Site Kit。Google Site Kit是Google WordPress。

Google Site Kit在WordPress管理控制台中显示有关您网站的信息。它汇总了来自Google Search Console（GSC），Google Analytics（分析），AdSense，Page Speed Insights和其他Google工具的信息。

WordFence的研究人员发现了该漏洞，并在插件更新后通知Google并发布了公告。

根据公告：

“这被认为是至关重要的安全问题，可能导致攻击者在Google Search Console中获得所有者对您网站的访问权限。

所有者访问权限使攻击者可以修改站点地图，从Google搜索引擎结果页（SERP）中删除页面，或促进黑帽SEO广告系列的发展。”

特权提升漏洞

影响Google Site Kit的漏洞是特权升级漏洞。这种利用要求攻击者必须在WordPress网站上注册（例如，作为订户），以利用安全漏洞。

通常，订户级别的注册用户在网站上具有最小权限。但是，该漏洞使攻击者可以获得管理员级别的站点特权，从而升级其站点访问特权。

该漏洞是由WordFence安全研究员Chloe Chamberland在2020年4月21日发现的，并于当日向Google报告。Google于2020年5月7日发布了一个补丁

根据WordFence漏洞研究员Chloe Chamberland的说法：

“连接两个系统，例如WordPress网站和Google的网站所有权工具，总是会带来一定程度的风险。确保两个系统之间的集成安全至关重要。

当像Google这样的公司制定了易于发现的漏洞披露政策时，它可以帮助研究人员迅速将修正信息提供给最终用户。
随着空间的成熟，我们看到越来越多的开发人员发布了明确的漏洞披露政策，但是还需要做更多的工作以确保安全研究人员和开发人员能够快速连接并为我们所有人提供更安全的网络。“

WordFence Premium安全插件的订阅者会在被发现的同一天（即由Google发布补丁程序的几周前）受到保护，免受这种攻击。

受影响的Google Site Kit版本

此漏洞影响的Google Site Kit版本低于1.8.0版。

Google Site Kit 1.8.0已被完全修补。强烈建议用户立即更新其插件。

网站建设

Google的Site Kit WordPress插件changelog明确指出1.8.0版具有安全更新，并强烈建议用户进行更新。