内存安全周报第168期 | WordPress的AI Engine插件中发现漏洞 - 新鲜讯息

安芯网盾内存安全周报专栏，希望帮助企业更好地理解内存安全相关问题。让用户更好地认识、发现问题，防止外部入侵等威胁、有效地对系统进行安全设计，以实时防御并终止无文件攻击、0day /Nday攻击、缓冲区溢出攻击、基于内存的攻击等恶意行为。

一、美国证券交易委员会X账号泄露（1.09）

美国金融监管机构证券交易委员会表示，其官方 @SECGov X账户“遭到泄露”，导致发布了有关比特币 ETF 状态的“未经授权”的帖子。

‍

https://www.wired.com/story/sec-x-account-compromise/

二、微软补丁日(1.09)

微软在2024年1月的周二补丁更新中解决了总共48个安全漏洞，这些漏洞跨越了其软件产品。其中48个漏洞中有两个被标记为Critical（严重），其余46个被标记为Important（重要）。

本月修复的最为关键的漏洞如下：

CVE-2024-20674（CVSS评分：9.0）- Windows Kerberos 安全功能绕过漏洞

CVE-2024-20700（CVSS评分：7.5）- Windows Hyper-V 远程代码执行漏洞。

https://msrc.microsoft.com/update-guide/releaseNote/2024-Jan

三、沙特政府机构MIM敏感数据泄露长达15个月（1.09）

沙特 Ministry of Industry and Mineral Resources (MIM) 在一个环境文件中暴露了敏感数据。MIM 是沙特阿拉伯政府的一个机构，负责工业和矿产资源运营。该机构成立于2019年，旨在使沙特阿拉伯的经济多元化，减少对石油和天然气的依赖。根据了解，这个环境文件首次被物联网搜索引擎索引是在2022年3月，这意味着数据至少已经暴露了15个月。此后，该文件已被关闭，不再对公众开放。

https://cybernews.com/security/saudi-ministry-mim-exposed-sensitive-data/

四、WordPress的AI Engine插件种发现关键漏洞（1.09）

在WordPress的AI Engine插件中发现了一个关键漏洞，特别是影响其免费版本，该版本拥有超过50,000个活跃安装。这个插件因其多样的AI相关功能而广受认可，使用户能够创建聊天机器人、管理内容并利用各种AI工具，如翻译、SEO等。该漏洞允许任何未经验证的用户上传任意文件，包括可能具有恶意意图的PHP文件，这可能导致受影响的系统上执行远程代码。

https://www.infosecurity-magazine.com/news/flaw-ai-plugin-exposes-50000-wp/