据外媒The Hacker News报道，一名安全研究人员在最近公开披露了有关一个存在于一款受欢迎且被广泛使用的WordPress插件中的“紧急（critical）”漏洞的详细细节，该漏洞允许一个只具备低权限的攻击者向目标网站的AMP页面注入恶意代码。

这个易受攻击的WordPress插件名为“AMP for WP – Accelerated Mobile Pages”，它允许网站自动为博客文章和其他网页生成有效的加速移动页面。

AMP是移动页面加速的缩写，是一个由谷歌公司启动的加快移动页面加载速度的项目，可以让移动端在访问页面时加载更快。

在数百个允许WordPress网站创建谷歌优化AMP页面的插件中，“AMP for WP”无疑是更受欢迎的，其安装数量超过了10万。

由于易受攻击的代码，受影响的插件最近已经暂时从WordPress插件库中移除，但它的开发者和WordPress团队都没有透露该插件涉及的确切问题。

来自 *** 安全公司WebARX的 *** 安全研究员Luka Sikic分析了易受攻击的插件版本，并在“AMP for WP”中发现了一个代码注入漏洞，该漏洞后来在更新版本中被修复。

根据Sikic的说法，这个漏洞来源于“AMP for WP – Accelerated Mobile Pages”插件处理用户帐户和WordPress AJAX 挂钩权限的方式。

“这个AMP插件漏洞位于ampforwp_save_steps_data中，它被调用来保存安装向导中的设置。它已被注册为wp_ajax_ampforwp_save_installer ajax hook。”Sikic在周四发布的博客文章中写道，“对于允许用户注册的网站来说，这个特定的插件漏洞是一个极其严重的问题。”

在该插件的设置中，它为网站管理员提供了在AMP页面的页眉或页脚中添加广告和自定义HTML/JavaScript代码的选项。为此，该插件在后台使用了WordPress的内置/AJAX挂钩功能。

由于WordPress站点上的每一名注册用户（即使只拥有更低的权限）都拥有调用AJAX挂钩的权限，再加上易受攻击的插件不会检查调用AJAX挂钩的帐户是否为admin，因此该站点的任何注册用户都可以使用此功能来注入自己的代码。

正如Sikic在其视频中所演示的那样，低权限用户可以很轻易地修改任何调用AJAX挂钩的请求，并可以在站点中提交恶意JavaScript代码。

目前，此漏洞现已在AMP for WP – Accelerated Mobile Pages的最新版本0.9.97.20中得到解决。如果你的WordPress网站也正在使用受影响的插件，那么我们强烈建议你应尽快安装最新的版本