安全预警：顶级WordPress缓存插件W3 Total Cache存在高危漏洞 请立即升级
山外的鸭子哥
安装在超过 100 万个网站上的 WordPress 顶级缓存插件 W3 Total Cache 日前披露高危安全漏洞，借助该漏洞攻击者能够访问各种信息甚至访问基于云的应用程序元数据。
W3 Total Cache 是个非常知名的缓存插件，可以将 WordPress 网站的文章数据等数据生成缓存从而加速网站访问速度、减少加载时间并提高 SEO 排名等。
也正是如此相当多的网站都使用 W3 Total Cache 插件 (蓝点网此前也使用过该插件)，而漏洞则影响 W3 Total Cache v2.8.2 之前的所有版本，目前该插件的开发团队已经在最新推出的 2.8.2 版中修复漏洞。
漏洞由网络安全公司 Wordfence 发现，分配的编号为 CVE-2024-12365，漏洞原因则是旧版本中的 is_w3tc_admin_page 函数缺少检查功能，因此攻击者可以通过安全随机数执行未经授权的操作。
下面是关于该漏洞的通报信息：
服务端请求伪造 (SSRF)：发出可能暴露敏感数据的 Web 请求，包括基于云的应用程序上的实例元数据等
服务滥用：借助该漏洞攻击者可以消耗服务器资源，这可能会影响网站性能并显著增加成本
影响范围：W3 Total Cache v2.8.2 之前的所有版本
修复版本：W3 Total Cache v2.8.2
统计数据显示在开发者推出新版本修复漏洞后，目前大约有 15 万个网站已经通过自动更新或手动更新方式完成升级，但还有几十万甚至更多网站仍然在使用旧版本插件。
随着安全漏洞的披露接下来针对 W3 Total Cache 的攻击也会随之到来，所以如果你使用 W3 Total Cache 插件请立即升级以免遭到黑客利用。
如果你的服务器无法直接连接 WordPress 服务器升级插件，请备份网站数据、网站数据库以及插件设置等数据后，手动下载 W3 Total Cache 插件并在服务器上执行手动升级操作。
