WordPress 是現時不少新聞網站所採用的內容管理系統，假如它有甚麼漏洞，可能會危害不少網站。最近 WordPress 一個頗受歡迎的相片插件就被發現含有一個可以讓攻擊者奪取帳戶的漏洞，危害到網站的安全。
今次發現 WordPress 插件漏洞的，是日本的的「情報處理推進機構（ IPA ）」，他們發現一款很受歡迎的相片插件「 Responsive Lightbox 」含有可以執行任何腳本代碼的「 Cross Site Scripting （ XSS ） 」漏洞，可以讓攻擊者截取到目標對象的登入資料，從而取得受保護的資料、私自貼文，甚至騎劫帳戶。呼籲 WordPress 管理人立即更新有關的插件以免受害。
今次的攻擊手法稱為「反射型 XSS」，攻擊者會以有漏洞的網站網址，插入可以在瀏覽器執行的 Javascript 惡意程式碼，來造出一條攻擊連結。然後會以電郵等方式引誘目標對象對按下那連結。由於網址正確，受害者在不虞有詐的情況下用那連結登入有漏洞的 WordPress 網站的話，雖然網站本身不會執行那惡意腳本，但在回應受害者時「反射」惡意腳本給受害者，令受害者的瀏覽器執行惡意腳本，例如將受害者的登入資料（如 Cookie ）傳到攻擊者那邊，攻擊者就有機會截取受害者的登入狀態來進行下一步行動。
反射型 XSS 的攻擊手法
- 攻擊者將惡意腳本插入網址製成連結
- 將連結寄給受害者
- 受害者透過連結登入有漏洞的 WordPress 網站
- 網站將惡意腳本「反射」給受害者
- 受害者的瀏覽器執行惡意腳本，將登入資料傳送給攻擊者
所以大家在收到含有連結的電郵時，一定要格外小心，尤其是在連到需要登入的網站時，以免誤將連結中的惡意腳本傳到網站而「反射」到自己的瀏覽器。
