2020年，剛剛開始WordPress部落格系統被網站安全檢測出有插件繞過漏洞，該插件的開發公司，已更新了該插件并釋出1.7版本，對以前爆出的漏洞進行了修補，該企業網站漏洞造成的原因是未經許可身份認證的普通使用者給以了系統管理者權限。黑客能夠以網站管理者的身份進行登陸，并可以将wp企業網站的全部資料表資訊恢複為以前的模式，進而上傳webshell企業網站木馬代碼來進行篡改企業網站。現階段受危害的版本包含最新的WP系統。
這個WP插件的主要功能是可以将網站的主題自定義的進行外觀設計，與導入代碼，讓很多新手不懂代碼設計的可以迅速地掌握該技巧對網站進行外觀設計，目前全球用該插件的人數達到二十五萬多企業網站在使用該插件，也是目前最受環境的插件。該網站漏洞影響的插件版本，是存在于1.5-1.6版本。根據目前WP官方的資料資料統計，使用該版本的使用者以及網站數量占比竟然達到百分之95左右，受漏洞影響的網站确實太多，建議各位站長盡快對該插件進行更新，修複漏洞。
該網站漏洞的利用方式以及條件，必須是該主題插件處于啟用狀态，并且是公司網站上都安裝了這個插件才會受到漏洞的攻擊，讓黑客有攻擊網站的機會。SINE安全技術在實際的漏洞利用測試過程中，也發現了一些問題，插件繞過漏洞的利用前提是需要有1個條件來進行，網站的資料庫表中的普通使用者必須有admin賬戶存在，目前的網站安全解決方案是盡快更新該插件到最新版本，有些企業網站不知道該如何更新的，先将改插件在背景關閉掉，防止黑客的入侵。
針對該插件漏洞的修複辦法，可以在“wdcp_init”的Hook在網站環境中運作，而且還可啟用無需通過身份認證的普通使用者的“/wp-wdcp/wdcp-ajax.tp架構”。缺少身份認證就使漏洞沒有利用的機會了。假如資料表中存有“wdcp”普通使用者，未經許可身份認證的黑客機會會應用此賬号登陸，并删掉全部以已定義的資料表字首打頭的。可以将該使用者删除掉，以防止網站被攻擊。
隻要删掉了全部表，它将應用進階設定和資料資訊填充資料表，随後将“wdcp”普通使用者的密碼修改為其此前已經知道的登入密碼。某安全組織與2月6号檢測到了該網站插件繞過漏洞，在同一天将其安全報告給插件的開發公司。十天之後，也就是上個星期，主題Grill插件公司，釋出了修複該網站漏洞的新版本。
在編寫這篇文章時，修補後的插件，最新版本下載下傳數量達到二十多萬，這說明應用還有很多企業網站沒有修複漏洞，仍然處在被攻擊的風險當中。針對于WP官方的資料安全中心釋出的安全報告中顯示的兩個網站漏洞，當黑客利用這些網站漏洞時，都是會造成和本次安全事件一樣的影響。建議使用該插件的wordpress公司網站盡快更新，修複漏洞，以免對網站對公司産生更大的經濟損失以及影響。
在其中1個CVE-2020-7048準許未經許可身份認證的普通使用者從其他資料表中重置表，而另外一個CVE-2020-7047則是賦予最低管理權限的賬号網站管理者管理權限。如果您對網站代碼不是太了解，不知道該如何修複wordpress的漏洞，或者是您網站使用的是wp系統開發的，被黑客攻擊篡改資料，也可以找專業的網站安全公司來處了解決。