吳明宜WordPress外掛OttKit爆出驗證繞過漏洞，數小時內遭駭，恐致網站被控管，管理員應儘速更新至1.0.79版。
WordPress 外掛 OttKit 爆出一項能讓攻擊者繞過驗證的高風險漏洞，在公開數小時之內就遭到駭客攻擊。
OttKit（原名 SureTriggers）可讓 WordPress 用戶連接外部工具，像是 ordPress 的開放原始碼電子商務外掛 WooCommerce 、郵件外掛 Mailchimp 或 Google Sheets，以自動化傳送郵件、更新 CRM 或是更新表單資料等。數據顯示有 10 萬網站使用本外掛。
本周稍早安全廠商 Wordfence 揭露 OttKit 驗證繞過漏洞，編號 CVE-2025-3102，影響 OttKit1.0.78 版及以前版本。該漏洞起於其中 REST API 驗證 REST 訊息的函式少了空值檢查。如此一來，攻擊者就能傳送驗證標頭為空值的 REST 訊息而通過檢查，得以非授權存取 API 端點。簡而言之，該漏洞可讓攻擊者建立新的管理帳號，最嚴重可能竊取了整個網站的管理權。
揭露本漏洞的研究人員在三月中獲得抓漏獎金。雖然當天 OttKit 的開發商就釋出 1.0.79，但是 WordPress 安全平台 Patchstack 研究人員發現在 4 小時內，就有駭客已經濫用漏洞發動攻擊。
資安業者及研究人員呼籲網站管理員儘速升級 OttKit 到 1.0.79 版，以免遭駭客建立非法用戶帳號、安裝惡意外掛、存取資料庫或修安全設定。