小心! WordPress知名外挂Display Widgets打开网站后门

Wordfence

专门提供WordPress安全外挂程式的Wordfence上周指出，知名的WordPress外挂程式Display Widgets含有后门，将允许作者于採用该外挂的WordPress网站上发布任何内容，并建议使用者立即移除它。

Display Widgets的功能在于可根据不同的网页、类别、客製化分类或WPML语言以自动变更侧边栏位的内容，以免除使用者手动製作众多侧边栏位的困扰，估计有超过20万名WordPress用户正在使用它。

Wordfence发现，Display Widgets的作者不断利用该后门于各个採用它的WordPress网站发布垃圾内容，该后门允许作者更新或移除WordPress网站上的内容，还能避免登入的WordPress用户看到这些内容。

即使WordPress.org曾经把它自外挂资料库中移除，但Display Widgets作者却锲而不捨地上传含有后门的版本，这3个月以来，WordPress.org总计删了它4次。（来源：Wordfence）

上周WordPress.org发布了 未含后门的Display Widgets 2.7版，宣称它与尚未遭植入后门的Display Widgets 2.0.5版一样，是个乾净的版本，主要供正在使用它的用户升级。

然而，Display Widgets 2.7版只供既有用户升级，并不允许新用户安装，WordPress.org认为Display Widgets的作者已经摧毁了使用者对该外挂程式的信任，因此已经将之移除，并建议需要相关功能的用户或者更新，或者寻找其他的外挂程式。

事实上，Display Widgets的原始作者在今年6月就把该外挂程式卖掉了，作怪的是Display Widgets的新主人，从接手后所发表的Display Widgets 2.6.0到2.6.3都含有后门。