在 Google 的 Site Kit WordPress 插件中发现了一个漏洞，随后进行了修补。
该漏洞允许攻击者提升站点权限并攻击受害者搜索可见性、更改站点地图等。
Google Site Kit WordPress 插件
该漏洞影响 Google 的 Site Kit。 Google Site Kit 是一个 Google WordPress。
Google Site Kit 在 WordPress 管理仪表板中显示有关您网站的信息。 它汇总了来自 Google Search Console (GSC)、Google Analytics、AdSense、Page Speed Insights 和其他 Google 工具的信息。
WordFence 的研究人员（@wordfence) 发现漏洞，通知谷歌然后在插件更新后发布公告。
根据公告：
“这被认为是一个严重的安全问题，可能导致攻击者在 Google Search Console 中获得对您网站的所有者访问权限。
所有者访问权限允许攻击者修改站点地图、从 Google 搜索引擎结果页面 (SERP) 中删除页面，或促进黑帽 SEO 活动。”
权限提升漏洞
影响 Google Site Kit 的漏洞是权限提升漏洞。 这种利用需要攻击者在 WordPress 站点上注册（例如，作为订阅者）才能利用安全漏洞。
通常，订阅者级别的注册用户在网站上拥有最低权限。 然而，该漏洞允许攻击者获得管理员级别的站点权限，以提升他们的站点访问权限。
该漏洞由 WordFence 安全研究员 Chloe Chamberland 于 2020 年 4 月 21 日发现，并于同日向 Google 报告。 Google 于 2020 年 5 月 7 日发布了补丁
根据 WordFence 漏洞研究员 Chloe Chamberland 的说法：
“连接两个系统，例如 WordPress 网站和 Google 的网站所有权工具，总是会带来一定程度的风险。 确保两个系统之间的集成安全至关重要。
当像谷歌这样的公司制定了易于查找的漏洞披露政策时，它可以帮助研究人员快速将修复程序提供给最终用户。
随着空间的成熟，我们看到越来越多的开发人员发布了明确的漏洞披露政策，但需要做更多的工作来确保安全研究人员和开发人员能够快速连接并让我们所有人的网络更安全。 “
WordFence Premium 安全插件的订阅者将在发现该漏洞的同一天，即谷歌发布补丁的几周前，受到保护。
受影响的 Google Site Kit 版本
此漏洞影响低于 1.8.0 版的 Google Site Kit 版本。
Google Site Kit 1.8.0 已完全修补。 强烈建议用户立即更新他们的插件。
Google 的 Site Kit WordPress 插件更新日志明确指出 1.8.0 版有安全更新，强烈建议用户更新。
阅读官方公告：
Google WordPress 插件中的漏洞授予攻击者搜索控制台访问权限
