原标题：WordPress零时漏洞可能泄露密码重设连结，允骇客取得网站控制权
示意图，与新闻事件无关。
波兰安全研究人员Dawid Golunski公布WordPress密码重设功能存在零时攻击漏洞，可让骇客取得合法网站的密码重设连结，进而在不需验证情况下，取得网站控制权。?研究人员发现的漏洞编号为CVE-2017-8295，存在WordPress製作密码重设信件的过程中，在有人发出密码重设要求时，未确保邮件只发送到合法网站持有人帐号。由于WordPress製作密码重设邮件时可使用用户端提供的主机名，因此攻击者将送出的HTTP呼叫中的SERVER_NAME变项，修改成攻击者控制的伺服器名。这就会让之后标题包含From/Return路径的邮件，都会传送这个恶意邮件位址。?研究人员举出二种不需用户介入的可能攻击情况，一是攻击者发送大量垃圾邮件塞爆合法拥有者的信箱，等信箱无法收信，之后WordPress发出的密码重设邮件来到就会被弹回，这时就会送到攻击者控制的信箱中。另一个攻击策略是等网站管理员不在，设定自动回覆时。当密码重设邮件寄出，如果管理员自动回覆信件包含原始内容，则攻击者就能加以拦截。?Golunski指出，他在10个月前即通知WordPress，但一直未见解决，因此决定将研究公开。?不过这些攻击手法颇为「搞岗」（费力），因而减低了其风险，而且安全公司Sucuri研究人员也认为，上述攻击手法对象只限于单一IP网址的网站，不适用于多数共用伺服器的网站，受害者应只限于组态不佳的网站。?希望防堵被骇可能性的用户，可以启用UseCanonicalName，强制使用静态的SERVER_NAME值。
?
相关：
骇客利用电信业者SS7协议漏洞破解双因素认证，手机用户的银行帐户遭盗领一空
示意图，与新闻事件无关。 德国媒体Süddeutsche Zeitung本周披露，有骇客开採了被电信业广泛採用的第七号发信系统（Signaling System Number 7，SS7）协定，在德国营运的西班牙电信（O2-Telefonica）证实已有部份
示意图，与新闻事件无关。 密西根大学（University of Michigan）的研究团队上周公布了一份报告 ，指出Google Play上有数百款的Android程式未能妥善保护开放埠（Open Port）功能，让骇客也能利用这些被开启的传输埠
示意图，与新闻事件无关。 图片来源: Intel 英特尔（Intel）于本周一（5/1）修补了旗下多款远端管理技术的权限扩张漏洞，涵盖Active Management Technology（AMT）、Intel Small Business Technology（SBT）与Inte
示意图，与新闻事件无关。 图片来源: Netflix 名为thedarkoverlord的骇客集团上周六（4/29）透过Pastebin及The Pirate Bay张贴了Netflix预计于今年6月发行的热门影集《女子监狱》（Orange Is The New Black）第五季
1名骇客先前以公开影集“劲爆女子监狱”还没播出的最新1季内容，勒索影音平台Netflix。该骇客今天宣称，因为迟迟没拿到钱，已公布相关内容。美联社与英国“镜报”报道，这名自称为The Dark Overlord的骇客今天在推特