如果你在 WordPress 官网提交过插件,那么大概率近期会收到一份提醒密码重置的邮件,而且现在登录账号也会提醒需要进行重置后才能登录。
具体原因已在通知邮件中进行标注,是因为有人利用开发者账号提交了包含恶意代码的版本问题,文派茶馆将会在后续进行细节梳理。
![](https://wptea.com/wp-content/uploads/2024/06/20240629133052.jpg)
以下是邮件正文,开发者账户的个人/团队,请及时查阅并修改,必要时看开启 2FA 两步验证加强安全性。
Hello wpfanyi,
作为对 Andrew Wilder (NerdPress) 和 Chloe Chamberland (WordFence) 报告揭示的一些被攻击插件的后续行动,插件审核团队希望提供更多关于该事件的详细信息。
我们发现一些插件作者在其他地方的数据泄露中使用了暴露的密码。被攻击的账户并不是由于 WordPress.org 上的漏洞。相反,攻击者利用这些重复使用的密码,在 WordPress.org 插件目录中的一些插件中添加了恶意代码。
首先,为了谨慎起见,插件的进一步发布已被暂停,所有新的插件提交暂时需要团队的批准。这样,我们可以确保攻击者无法向更多的插件中添加恶意代码。
我们已经开始强制重置所有插件作者和一些其他用户的密码,这些用户的信息在安全研究人员发现的数据泄露中被发现。这将影响一些用户与 WordPress.org 互动或进行提交的能力,直到他们的密码被重置。
**** 关于密码停用的信息 ****
如果你是插件作者或提交者,你的密码已被停用。如果你在 WordPress.org 上有一个现有的开放会话,你将被登出并需要重置你的密码。
要重置你的密码并重新获得账户访问权限,请按照以下步骤操作:
- 访问 login.wordpress.org
- 点击 “Lost password?” 链接
- 输入你的 WordPress.org 用户名
- 点击 “Get new password” 按钮
- 打开你的电子邮件并点击链接设置新密码
重置密码后,我们建议你为账户启用双因素认证 (2FA) 并遵循最近概述的最佳实践。
https://make.wordpress.org/plugins/2024/06/26/keeping-your-plugin-committer-accounts-secure/
如果你遇到任何问题,请联系 forum-password-resets@wordpress.org 。
我们绝不会通过电子邮件向你索要密码。
WordPress.org 团队
发表回复