Radykal的Fancy Product Designer WordPress插件存在两个严重安全漏洞，允许攻击者上传恶意文件和进行SQL注入。尽管Patchstack已通知供应商并公开警告，但该插件仍未修复。CVE-2024-51919漏洞允许通过上传远程URL执行任意代码，CVE-2024-51818漏洞则由于输入消毒不足导致SQL注入，可能泄露或修改数据库。目前，该插件的最新版本6.4.3仍然存在这些问题，用户需警惕风险，并采取安全措施，如创建安全文件扩展名允许列表和转义用户查询输入。

⚠️ **未经验证的任意文件上传漏洞:** 插件的“save_remote_file”和“fpd_admin_copy_file”函数未正确验证文件类型，允许攻击者上传恶意文件，从而实现远程代码执行(RCE)。

🗄️ **未经验证的SQL注入漏洞:** 由于对用户输入消毒不充分，插件存在SQL注入漏洞。攻击者可利用此漏洞进行数据库泄露、数据检索、修改和删除操作。

🛡️ **漏洞未修复且风险高:** 尽管Patchstack已多次通知供应商，并发布了20个新版本，但这些关键安全问题仍未得到解决，用户面临严重的安全风险。

来自 Radykal 的高级 WordPress 插件 Fancy Product Designer 存在两个严重漏洞，目前的最新版本仍未修复。该插件允许在 WooCommerce 网站上通过更改颜色、转换文本或修改大小来定制产品设计（如服装、马克杯、手机壳等），其销售量已超过 20,000 件。在检查该插件时，Patchstack 的 Rafie Muhammad 于 2024 年 3 月 17 日发现该插件存在以下两个关键漏洞：CVE-2024-51919 (CVSS score: 9.0)： 文件上传函数 “save_remote_file ”和 “fpd_admin_copy_file ”未正确验证或限制文件类型，导致未验证的任意文件上传漏洞。攻击者可通过提供远程 URL 来上传恶意文件，从而实现远程代码执行 (RCE)。CVE-2024-51818 (CVSS 得分：9.3)： 由于使用了不充分的 “strip_tags”，对用户输入进行了不适当的消毒，从而导致了未经验证的 SQL 注入漏洞。用户提供的输入未经适当验证就直接集成到数据库查询中，可能导致数据库泄露、数据检索、修改和删除。尽管 Patchstack 在发现问题一天后就通知了供应商，但 Radykal 一直没有回复。1 月 6 日，Patchstack 将这些漏洞添加到其数据库中，并在今天发表了一篇博文，警告用户并提高对风险的认识。Muhammad 说，即使在发布了 20 个新版本（最新版本是两个月前发布的 6.4.3）之后，这两个关键安全问题仍未得到修补。Patchstack 的文章提供了足够的技术信息，攻击者可以创建漏洞并开始攻击使用 Radykal 的 Fancy Product Designer 插件的网店。作为一般建议，管理员应创建一个包含安全文件扩展名的允许列表，防止任意上传文件。此外，Patchstack 还建议通过安全转义和格式化用户查询输入来防止 SQL 注入。BleepingComputer 联系了 Radycal，询问他们是否计划尽快发布安全更新，但对方没有立即发表评论。