未经身份验证的攻击通常最容易被利用
因为任何人都可以发起攻击，而无需首先获取用户凭据。 WPScan 漏洞报告发现，大约 22% 的报告漏洞需要订阅者级别或根本不需要身份验证，这是最容易被利用的漏洞。另一方面，需要管理员权限级别的漏洞占已报告漏洞的 30.7%。 无效软件和弱密码 弱密码和无效插件是通过 Jetpack Scan 发现恶意软件的两个常见原因。无效软件是盗版插件，它们有能力验证它们是否是付费阻止的。这些插件往往带有后门，可以感染恶意软件。弱密码可以通过暴力攻击猜出。 WPScan 报告解释道： “身份验证绕过攻击可能涉及多种技术，例如利用弱密码的弱点。
使用暴力攻击来猜测密码
使用网络钓鱼或借口等 格鲁吉亚 电话号码 社会工程策略、使用权限升级技术（例如利用已知的漏洞）。软件和硬件设备或尝试默认帐户登录。” 漏洞利用所需的权限级别 需要管理员级别凭据的漏洞所占漏洞的比例最高，其次是跨站点请求伪造 (CSRF)，占漏洞的 24.74%。这很有趣，因为 CSRF 是一种使用社会工程让受害者单击链接来获取用户权限级别的攻击。这是 发布商应该意识到的一个错误，因为管理员级别用户只需点击一个链接，然后黑客就可以取得 网站的管理员级别权限。 以下是按发起攻击所需的角色排序的漏洞利用百分比。
漏洞的用户角色升序 作者
订阅者 0.4% 未经认证 2.35% 贡 卢森堡 电话号码列表 献者 9.62% CSRF 24.74% 管理员 30.7% 需要最少身份验证的最常见漏洞类型 上下文中的访问控制损坏是指安全故障，该故障可能允许攻击者在没有必要的权限凭据的情况下获得更高凭据权限的访问权限。 在报告中查看未经身份验证或订阅者级别漏洞的发生率和漏洞的部分（未经身份验证或订阅者+报告的发生率与漏洞），WPScan 细分了最常见的每种漏洞类型的百分比，这些漏洞类型是最容易利用的启动（因为它们需要最少甚至不需要用户凭据身份验证）。望网站始终可用的搜索者可能会因遇到 503 状态代码而感到失望。
