تقرير موجز عن نقاط الضعف في WordPress: يناير 2020 ، الجزء الأول

6. سيتي بوك

تحتوي إصدارات CityBook 2.9.4 والإصدارات الأقدم على العديد من الثغرات الأمنية بما في ذلك ، XSS المنعكس غير المصادق ، و XSS الثابت الموثق ، ومرجع كائن مباشر غير آمن.

ماذا يجب ان تفعل

كيف تكون استباقيًا فيما يتعلق بموضوع WordPress وثغرات البرنامج المساعد

يعد تشغيل البرامج القديمة السبب الأول وراء اختراق مواقع WordPress. من الأهمية بمكان لأمن موقع WordPress الخاص بك أن يكون لديك روتين تحديث. يجب أن تقوم بتسجيل الدخول إلى مواقعك مرة واحدة على الأقل في الأسبوع لإجراء التحديثات.

يمكن أن تساعد التحديثات التلقائية

تعد التحديثات التلقائية خيارًا رائعًا لمواقع WordPress التي لا تتغير كثيرًا. غالبًا ما يؤدي عدم الانتباه إلى إهمال هذه المواقع وعرضها للهجمات. حتى مع إعدادات الأمان الموصى بها ، فإن تشغيل برنامج ضعيف على موقعك يمكن أن يمنح المهاجم نقطة دخول إلى موقعك.

باستخدام ميزة إدارة الإصدار في البرنامج المساعد iThemes Security Pro ، يمكنك تمكين تحديثات WordPress التلقائية لضمان حصولك على أحدث تصحيحات الأمان. تساعد هذه الإعدادات في حماية موقعك بخيارات للتحديث تلقائيًا إلى الإصدارات الجديدة أو لزيادة أمان المستخدم عندما تكون برامج الموقع قديمة.

خيارات تحديث إدارة الإصدار

• تحديثات WordPress - قم بتثبيت أحدث إصدار من WordPress تلقائيًا.
• التحديثات التلقائية للمكونات الإضافية - قم بتثبيت آخر تحديثات البرنامج المساعد تلقائيًا. يجب تمكين هذا ما لم تقم بصيانة هذا الموقع بنشاط بشكل يومي وتثبيت التحديثات يدويًا بعد وقت قصير من إصدارها.
• التحديثات التلقائية للموضوع - قم بتثبيت آخر تحديثات السمة تلقائيًا. يجب تمكين هذا إلا إذا كان المظهر الخاص بك يحتوي على تخصيصات للملف.
• التحكم الدقيق في تحديثات المكونات الإضافية والسمات - قد يكون لديك مكونات إضافية / سمات ترغب في تحديثها يدويًا أو تأخير التحديث حتى يتوفر الوقت للإصدار لإثبات ثباته. يمكنك اختيار Custom لإتاحة الفرصة لتعيين كل مكون إضافي أو سمة إما للتحديث الفوري ( تمكين ) ، أو عدم التحديث تلقائيًا على الإطلاق ( تعطيل ) أو التحديث مع تأخير لمدة محددة من الأيام ( تأخير ).

التقوية والتنبيه للقضايا الحرجة

• تقوية الموقع عند تشغيل برنامج قديم - أضف تلقائيًا وسائل حماية إضافية إلى الموقع عندما لا يتم تثبيت تحديث متوفر لمدة شهر. سيقوم المكون الإضافي iThemes Security تلقائيًا بتمكين أمان أكثر صرامة عند عدم تثبيت التحديث لمدة شهر. أولاً ، سيتم إجبار جميع المستخدمين الذين ليس لديهم عاملين ممكّنين على تقديم رمز تسجيل دخول يتم إرساله إلى عنوان بريدهم الإلكتروني قبل تسجيل الدخول مرة أخرى. ثانيًا ، سيتم تعطيل WP File Editor (لمنع الأشخاص من تحرير المكون الإضافي أو رمز السمة) و XML-RPC pingbacks وحظر محاولات مصادقة متعددة لكل طلب XML-RPC (كلاهما سيجعل XML-RPC أقوى ضد الهجمات دون الحاجة إلى إيقاف تشغيله تمامًا).
• البحث عن مواقع WordPress القديمة الأخرى - سيؤدي هذا إلى التحقق من تثبيتات WordPress القديمة الأخرى على حساب الاستضافة الخاص بك. قد يسمح موقع WordPress واحد قديم به ثغرة أمنية للمهاجمين بخرق جميع المواقع الأخرى على نفس حساب الاستضافة.
• إرسال إعلامات البريد الإلكتروني - بالنسبة للمشكلات التي تتطلب التدخل ، يتم إرسال بريد إلكتروني إلى المستخدمين على مستوى المسؤول.

إدارة مواقع WP متعددة؟ قم بتحديث المكونات الإضافية والسمات والأساسية مرة واحدة من لوحة معلومات مزامنة iThemes

iThemes Sync هي لوحة القيادة المركزية الخاصة بنا لمساعدتك في إدارة مواقع WordPress المتعددة. من لوحة معلومات المزامنة ، يمكنك عرض التحديثات المتاحة لجميع مواقعك ثم تحديث المكونات الإضافية والسمات ونواة WordPress بنقرة واحدة . يمكنك أيضًا الحصول على إشعارات البريد الإلكتروني اليومية عند توفر تحديث إصدار جديد.

جرّب المزامنة مجانًا لمدة 30 يومًا

الخروقات من جميع أنحاء الويب

نقوم بتضمين الانتهاكات من جميع أنحاء الويب لأنه من الضروري أيضًا أن تكون على دراية بنقاط الضعف خارج نظام WordPress البيئي. يمكن أن تؤدي عمليات استغلال برامج الخادم إلى كشف البيانات الحساسة. يمكن أن تؤدي خروقات قاعدة البيانات إلى كشف بيانات الاعتماد للمستخدمين على موقعك ، مما يفتح الباب للمهاجمين للوصول إلى موقعك.

1. تكتشف وكالة الأمن القومي ثغرة أمنية في نظام التشغيل Windows 10

وجدت وكالة الأمن القومي عيبًا خطيرًا في برامج Microsoft ، لذا تأكد من أن لديك أحدث تصحيح أمان لـ Windows. ترتبط الثغرة الأمنية بـ Windows crypt32.dll ، الذي يتعامل مع الشهادات ووظائف المراسلة المشفرة. إذا تم استغلاله ، يمكن للمتسلل استخدام الثغرة الأمنية لتزوير توقيعات رقمية.

ملخص نقاط الضعف في WordPress لشهر يناير 2020 ، الجزء الأول

نوع

عالي التأثر

يصلح

جوهر

لم يتم الكشف عن أي ثغرات أمنية في WordPress Core في النصف الأول من يناير 2020.

الإضافات

يعتبر إصدار Donorbox 7.1 و 7.1.1 عرضة لهجمات Stored Cross-Site Request Forgery.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 7.1.2.

إصدار Quiz and Survey Master 6.3.4 والإصدارات الأقدم عرضة لهجوم Authenticated Reflected XSS.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 6.3.5.

يحتوي الإصدار 301 Redirects على العديد من الثغرات الأمنية ، بما في ذلك Authenticated Arbitrary Redirect Injection and Modification و XSS و CSRF.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.45.

يتضمن الإصدار 3.2.2 من Rencontre وما يلي نقاط ضعف متعددة في طلب التزوير عبر الموقع.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 3.2.3.

تفتقد الصورة المميزة من إصدارات URL 2.7.7 وما يليها إلى عناصر التحكم في الوصول على مسارات REST مما يؤدي إلى ثغرة أمنية في المصادقة المعطلة.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.7.8.

أعضاء bbPress فقط الإصدار 1.2.1 والإصدارات الأقل عرضة لهجوم التزوير عبر الموقع على صفحة الإعدادات الاختيارية للمكونات الإضافية.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.3.1.

bbPress تسجيل الدخول تسجيل الارتباطات في صفحات مواضيع المنتدى ، الإصدارات 2.7.5 وما يليها تتضمن ثغرة أمنية في طلب التزوير عبر الموقع والتي يمكن أن تؤدي إلى هجوم برمجة نصية مخزنة عبر المواقع.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.8.5.

تفتقر إصدارات GDPR Cookie Compliance 4.0.2 وما بعده إلى فحص للقدرات وعلامة أمان غير متوقعة تسمح للمستخدم المصادق عليه بحذف إعدادات البرنامج المساعد.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 4.0.3.

يُعد الإصدار 2.0.6 من معرض الصور والإصدارات الأقدم ثغرة أمنية لهجوم تعطيل البرنامج المساعد التعسفي

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.0.7.

Minimal Coming Soon & Maintenance Mode الإصدارات 2.10 وما يليها بها العديد من الثغرات الأمنية

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.17.

تعد إصدارات تتبع تحويل WooCommerce 2.04 والإصدارات الأقل عرضة لطلب التزوير عبر المواقع الذي يؤدي إلى هجوم XSS مخزن.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.0.5.

تحتوي إصدارات Postie 1.9.40 وما بعده على ثغرة Post Spoofing و Stored XSS التي يمكن أن تؤدي إلى قيام مستخدم غير مصادق بنشر منشور جديد. هذه ثغرة أمنية في يوم الصفر ويمكن لأي شخص بسهولة العثور على إرشادات حول استغلال المكون الإضافي Postie.

أغلق WordPress.org Postie في 8 يناير 2019 ، لذلك أقترح إزالة المكون الإضافي والعثور على بديل.

استيراد المستخدمين من CSV بإصدارات Meta 1.15 به ثغرة أمنية في تصدير المستخدمين غير المصرح لهم. سيسمح فحص القدرات المفقودة للمستخدم غير المصرح له بتصدير مستخدمي WordPress.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.15.0.1.

تحتوي إصدارات الأسئلة الشائعة المطلقة رقم 1.8.29 وما بعده على ثغرة أمنية في انعكاس XSS لم تتم مصادقته. لا يعمل الرمز المختصر للأسئلة الشائعة على تعقيم معلمة Display_FAQ حيث يمكن أن يؤدي إلى هجوم انعكاس عبر الموقع على الصفحات التي يتم فيها عرض الرمز القصير.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.8.30.

WP Simple Spreadsheet Fetcher For Google الإصدارات 0.3.6 وما يليها لديها ثغرة أمنية عبر الموقع التزوير التي قد تسمح للمهاجم بتعيين مفتاح API وتعسفي.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 0.3.7.

النسخ الاحتياطي والمرحل بواسطة WP Time Capsule الإصدارات 1.21.15 وما يليه بها ثغرة أمنية في تجاوز المصادقة والتي من شأنها أن تسمح للمهاجم بتسجيل الدخول كمستخدم مسؤول.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.21.16.

تحتوي إصدارات InfiniteWP Client 1.9.4.4 وما يليها على ثغرة أمنية في تجاوز المصادقة والتي من شأنها أن تسمح للمهاجم بتسجيل الدخول كمستخدم مسؤول.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.9.4.5.

يحتوي الإصدار 4.0.5 من Ultimate Auction والإصدار الأقل منه على العديد من نقاط الضعف في تزوير الطلبات عبر المواقع والبرمجة عبر المواقع.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 4.0.6.

WooCommerce - Store Exporter الإصدار 2.3.1 وما يليه عرضة لهجوم حقن CSV.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.4.

إصدار Awesome Support 5.7.1 والإصدارات الأقدم عرضة لهجمات XSS المخزنة.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 5.8.0.

تكون مقاطع الفيديو الموجودة على الإصدار 1.1.3 من Admin Dashboard والإصدارات الأقل عرضة لهجمات XSS المخزنة المصادق عليها.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.1.4.

يعد Computer Repair Shop الإصدار 1.0 عرضة لهجوم XSS المخزن المصادق عليه.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.0.

يعد إصدار LearnDash 3.1.1 والإصدارات أدناه عرضة لهجوم Scripted Cross-Site Scripting.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 3.1.2.

ثيمات

تعد إصدارات ListPro 2.5.3 والإصدارات الأقل عرضة لهجوم XSS المنعكس غير المصادق.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.5.4.

تحتوي إصدارات Travel Booking 2.7.8.5 وأقلها على ثغرة XSS انعكاسية ومستمرة.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.7.8.6.

ElegantThemes Divi و Divi Builder والإصدارات الإضافية أدناه 4.0.10 معرضة لهجوم حقن رمز مصدق.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 4.0.10.

تحتوي إصدارات EasyBook 1.2.1 وما بعده على العديد من الثغرات الأمنية بما في ذلك ، XSS المنعكس غير المصادق ، و XSS الثابت المصادق عليه ، ومرجع كائن مباشر غير آمن.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.2.2.

تحتوي إصدارات TownHub 1.0.5 والإصدارات الأقدم على العديد من الثغرات الأمنية بما في ذلك ، XSS المنعكس غير المصادق ، و XSS الثابت المصادق عليه ، ومرجع كائن مباشر غير آمن.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 1.0.6.

تحتوي إصدارات CityBook 2.9.4 والإصدارات الأقدم على العديد من الثغرات الأمنية ، بما في ذلك ، XSS المنعكس غير المصادق ، و XSS الثابت الموثق ، ومرجع كائن مباشر غير آمن.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.9.5.

تحتوي إصدارات Real Estate 7 2.3.3 والإصدارات الأقدم على العديد من نقاط الضعف بما في ذلك ، XSS المنعكس غير المصادق ، و XSS الثابت الموثق ، ومرجع كائن مباشر غير آمن.

تم تصحيح الثغرة الأمنية ، ويجب عليك تحديثها إلى الإصدار 2.3.4.

يمكن أن يساعد المكون الإضافي لأمان WordPress في تأمين موقع الويب الخاص بك

يوفر iThemes Security Pro ، المكون الإضافي لأمان WordPress ، أكثر من 30 طريقة لتأمين وحماية موقع الويب الخاص بك من الثغرات الأمنية الشائعة في WordPress. باستخدام WordPress والمصادقة الثنائية وحماية القوة الغاشمة وفرض كلمة مرور قوية وغير ذلك ، يمكنك إضافة طبقة إضافية من الأمان إلى موقع الويب الخاص بك.

تعرف على المزيد حول أمان WordPress من خلال 10 نصائح رئيسية. قم بتنزيل الكتاب الإلكتروني الآن: دليل لأمن WordPress

التحميل الان

احصل على iThemes Security

مايكل مور

كل أسبوع ، يضع مايكل تقرير WordPress Vulnerability Report معًا للمساعدة في الحفاظ على أمان مواقعك. بصفته مدير المنتجات في iThemes ، فهو يساعدنا في مواصلة تحسين مجموعة منتجات iThemes. إنه الطالب الذي يذاكر كثيرا عملاقًا ويحب التعرف على كل ما يتعلق بالتكنولوجيا ، القديم والجديد. يمكنك أن تجد مايكل يتسكع مع زوجته وابنته ، يقرأ أو يستمع إلى الموسيقى عندما لا يعمل.