Patchstack 在广泛使用的 Woffice WordPress 主题中披露了两个关键漏洞，该主题是一种高级内联网/外联网解决方案，销售量超过 15000 个。Woffice 主题由 Xtendify 开发，提供团队和项目管理功能，是高级业务工作流程的热门选择。然而，最近发现的这些漏洞被评为 CVSS 9.8 严重级别，给受影响的网站带来了巨大的安全风险。
Patchstack 在该主题功能所需的 Woffice Core 插件中发现了两个关键漏洞：
- 权限升级漏洞 (CVE-2024-43153)： 该漏洞允许未经身份验证的用户在受影响的网站上注册任何角色，包括权限极高的管理员角色。据报告称，“该漏洞可能导致攻击者完全接管网站并在服务器上安装恶意代码”。该问题存在于位于 inc/classes/Woffice_Register.php 文件中的注册函数中。当启用 Woffice 的自定义登录选项（如自动登录和表单中的角色字段）时，攻击者可在 $_POST[“reg_role”] 参数中提交任意角色，从而获得更高的权限。
- 未经身份验证的账户接管 (CVE-2024-43234)： 该漏洞利用被破坏的身份验证机制，使攻击者能够在未经授权的情况下以任何现有用户的身份登录。该漏洞与同一 Woffice_Register.php 文件中的 register_redirect 函数有关。攻击者通过从自定义注册页面提取 WofficeRegisterRedirect 安全非密钥，并发送带有非密钥和 $_POST[‘user_id’] 设置为现有用户 ID（例如，管理员为 1）的请求，即可获得未经授权的访问权限。
这两个漏洞一旦被利用，可能会导致整个网站受到攻击，部署恶意代码，并给使用该主题的企业带来潜在的声誉和经济损失。
Woffice的开发商Xtendify已分别在5.4.12和5.4.15版本中解决了这些漏洞。我们强烈呼吁所有用户立即将其主题至少更新到 5.4.15 版本。