Redux，一个具有超过100万活跃安装的流行WordPress插件最近修补了漏洞。该漏洞允许攻击者在跨站点请求伪造（CSRF）攻击中绕过安全措施。
横向站点请求伪造
横向站点请求伪造（CSRF）攻击是一个攻击者在代码中利用漏洞的方法，该方法允许它们在网站上执行操作。这种攻击利用了经过身份验证的用户的凭据。
美国商业部
定义了CSRF
“”一种类型的网络漏洞利用在哪里未经授权的方会导致网站的受信任用户传输的命令，而没有该用户的知识。“
这种特殊的攻击绕过了安全性通过利用导致站点不正确地验证叫做ONCES的安全令牌的编码错误来检查。随机数都应该从攻击保护形式和URL
AdvertisementContinue阅读以下
WordPress的开发者页面
“WordPress的annces是一次性使用WordPress生成的安全令牌，以帮助保护URL和误用的表单。
如果您的主题允许用户提交数据;是在管理员或前端;可以用来验证用户打算执行动作，并且是保护跨站点请求伪造（CSRF）的乐器。
由omce生成的一次性使用哈希可防止这种类型通过验证上传请求取得成功的伪造攻击是由th完成的E当前登录用户。 annces是独一无二的，只有当前用户的会话，所以如果尝试登录或输出页面上的任何无数的无效。“
缺陷的广告联系读数缺陷是如何验证。此漏洞最初在10月20日修复，但在以后更新中重新引入。
根据WPSCAN
安全插件站点：
“”插件没有正确验证某些无数，仅在设置其值时检查它们。结果，仍然可以通过在请求中提交随机性，绕过它们应该提供的保护来执行CSRF攻击。“
WPSCAN和WordPress Redux插件都报告了CSRF漏洞已修复。
WPSCAN描述了当前问题
：
“”插件在v4.1.22中重新引入了CSRF旁路问题，因为只有在请求中签名时才检查随机数。“
“”固定：如果有条件为条件，则用翻转的CSRF安全问题。“
更新Redux Gutenberg块库和框架
Redux是一个允许发布商浏览和从数千个古堡块和模板中选择的插件。块是网页和模板的部分是整个网页设计。
使用超过一百万个活动用户，Redux插件是最常用的WordPress插件之一。
强烈建议出版商使用Redux WordPress插件立即
UPDATE到最新版本，4.1.24
。
