تقرير موجز عن نقاط الضعف في WordPress: مايو 2020 ، الجزء الثاني

تم الكشف عن مكون WordPress الإضافي الجديد وثغرات الثغرات الأمنية خلال النصف الثاني من شهر مايو ، لذلك نريد أن نبقيك على علم بذلك. في هذا المنشور ، نغطي مكون WordPress الإضافي الأخير والموضوع ونقاط الضعف الأساسية وماذا تفعل إذا كنت تقوم بتشغيل أحد المكونات الإضافية أو السمات الضعيفة على موقع الويب الخاص بك.

تم الكشف عن مكون WordPress الإضافي الجديد وثغرات الثغرات الأمنية خلال النصف الثاني من شهر أبريل ، لذلك نريد أن نبقيك على علم بذلك. في هذا المنشور ، نغطي مكون WordPress الإضافي الأخير والموضوع ونقاط الضعف الأساسية وماذا تفعل إذا كنت تقوم بتشغيل أحد المكونات الإضافية أو السمات الضعيفة على موقع الويب الخاص بك.

تم تقسيم تقرير الثغرات الأمنية في WordPress إلى أربع فئات مختلفة:

1. ووردبريس الأساسية
2. إضافات ووردبريس
3. موضوعات WordPress

سيكون لكل ثغرة تصنيف تهديد منخفض أو متوسط أو مرتفع أو حرج .

نقاط الضعف الأساسية في ووردبريس

لم يتم الكشف عن أي ثغرات أمنية في WordPress في مايو 2020.

نقاط الضعف في البرنامج المساعد WordPress

تم اكتشاف العديد من ثغرات البرنامج الإضافي الجديد في WordPress هذا الشهر حتى الآن. تأكد من اتباع الإجراء المقترح أدناه لتحديث المكون الإضافي أو إلغاء تثبيته تمامًا.

1. Site Kit من Google - مهم

تحتوي إصدارات Site Kit من Google الأقل من 1.8.0 على ثغرة أمنية في تصعيد الامتياز والتي ستسمح للمهاجم بأن يصبح مالكًا لـ Search Console.

2. شهادات سهلة - حاسمة

تحتوي إصدارات الشهادات السهلة الأقل من 3.6 على ثغرة أمنية في البرمجة النصية عبر المواقع المخزنة المصادق عليها.

3. WP Product Review - مرتفع

تحتوي إصدارات WP Product Review الأقل من 3.7.6 على ثغرة أمنية في البرمجة النصية عبر المواقع غير المصادق عليها.

4. تسجيل الدخول / الاشتراك المنبثق - مهم

تحتوي الإصدارات المنبثقة لتسجيل الدخول / التسجيل أدناه 1.5 على ثغرة أمنية في برمجة المواقع عبر المواقع المخزنة المصادق عليها.

5. معرض الصور بواسطة 10Web - حرج

معرض الصور بإصدارات 10 ويب أقل من 1.5.55 بها ثغرة أمنية لم تتم مصادقتها من خلال حقن SQL.

6. أعضاء الفريق - حاسمة

تحتوي إصدارات أعضاء الفريق الأقل من 5.0.4 على ثغرة أمنية في برمجة المواقع عبر المواقع المخزنة المصادق عليها.

7. منشئ موقع Visual Composer - مرتفع

إصدارات Visual Composer Website Builder أقل من 27.0 بها ثغرات أمنية متعددة مصادق عليها عبر المواقع.

8. ورد اللانهائي التمرير - الحرجة

تحتوي إصدارات WordPress Infinite Scroll أدناه 5.3.2 على ثغرة أمنية مصدق عليها من خلال حقن SQL.

9. ملف تعريف WP Frontend - منخفض

تحتوي إصدارات ملف تعريف WP Frontend أدناه 1.2.2 على ثغرة أمنية عبر طلب التزوير عبر الموقع.

10. العضويات المدفوعة برو - متوسطة

عضوية مدفوعة الأجر تحتوي إصدارات Pro أدناه 2.3.3 على ثغرة أمنية مصادق عليها SQL Injection.

11. ThirstyAffiliates مدير ارتباط - متوسط

تحتوي إصدارات ThirstyAffiliates Affiliate Link Manager الأقل من 3.9.3 على ثغرة أمنية مصادق عليها في برمجة الموقع المتقاطع.

12. اشترك أشكال MailerLite الرسمية - الحرجة

إصدارات نماذج التسجيل الرسمية من MailerLite أقل من 1.4.5 بها ثغرات أمنية متعددة في CSRF.

13. نموذج اتصال SweetAlert الإضافي 7 - منخفض

تحتوي الإصدارات 7 من نموذج جهة اتصال SweetAlert الإضافي الأقل من 1.0.8 على ثغرة أمنية في البرمجة النصية عبر المواقع المخزنة المصادق عليها.

14. نموذج صانع بواسطة 10Web - عالية

يحتوي Form Maker بواسطة إصدارات 10Web أدناه على 1.13.36 ثغرة أمنية مصادقة لإدخال SQL.

ثيمات WordPress

لم يتم الكشف عن ثغرات أمنية في موضوع WordPress في النصف الثاني من مايو.

كيف تكون استباقيًا فيما يتعلق بموضوع WordPress وثغرات البرنامج المساعد

يعد تشغيل البرامج القديمة السبب الأول وراء اختراق مواقع WordPress. من الأهمية بمكان لأمن موقع WordPress الخاص بك أن يكون لديك روتين تحديث. يجب أن تقوم بتسجيل الدخول إلى مواقعك مرة واحدة على الأقل في الأسبوع لإجراء التحديثات.

يمكن أن تساعد التحديثات التلقائية

تعد التحديثات التلقائية خيارًا رائعًا لمواقع WordPress التي لا تتغير كثيرًا. غالبًا ما يؤدي عدم الانتباه إلى إهمال هذه المواقع وعرضها للهجمات. حتى مع إعدادات الأمان الموصى بها ، فإن تشغيل برنامج ضعيف على موقعك يمكن أن يمنح المهاجم نقطة دخول إلى موقعك.

باستخدام ميزة إدارة الإصدار في البرنامج المساعد iThemes Security Pro ، يمكنك تمكين تحديثات WordPress التلقائية لضمان حصولك على أحدث تصحيحات الأمان. تساعد هذه الإعدادات في حماية موقعك بخيارات للتحديث تلقائيًا إلى الإصدارات الجديدة أو لزيادة أمان المستخدم عندما تكون برامج الموقع قديمة.

خيارات تحديث إدارة الإصدار

• تحديثات WordPress - قم بتثبيت أحدث إصدار من WordPress تلقائيًا.
• التحديثات التلقائية للمكونات الإضافية - قم بتثبيت آخر تحديثات البرنامج المساعد تلقائيًا. يجب تمكين هذا ما لم تقم بصيانة هذا الموقع بنشاط بشكل يومي وتثبيت التحديثات يدويًا بعد وقت قصير من إصدارها.
• التحديثات التلقائية للموضوع - قم بتثبيت آخر تحديثات السمة تلقائيًا. يجب تمكين هذا إلا إذا كان المظهر الخاص بك يحتوي على تخصيصات للملف.
• التحكم الدقيق في تحديثات المكونات الإضافية والسمات - قد يكون لديك مكونات إضافية / سمات ترغب في تحديثها يدويًا أو تأخير التحديث حتى يتوفر الوقت للإصدار لإثبات ثباته. يمكنك اختيار Custom لإتاحة الفرصة لتعيين كل مكون إضافي أو سمة إما للتحديث الفوري ( تمكين ) ، أو عدم التحديث تلقائيًا على الإطلاق ( تعطيل ) أو التحديث مع تأخير لمدة محددة من الأيام ( تأخير ).

التقوية والتنبيه للقضايا الحرجة

• تقوية الموقع عند تشغيل برنامج قديم - أضف تلقائيًا وسائل حماية إضافية إلى الموقع عندما لا يتم تثبيت تحديث متوفر لمدة شهر. سيقوم المكون الإضافي iThemes Security تلقائيًا بتمكين أمان أكثر صرامة عند عدم تثبيت التحديث لمدة شهر. أولاً ، سيتم إجبار جميع المستخدمين الذين ليس لديهم عاملين ممكّنين على تقديم رمز تسجيل دخول يتم إرساله إلى عنوان بريدهم الإلكتروني قبل تسجيل الدخول مرة أخرى. ثانيًا ، سيتم تعطيل WP File Editor (لمنع الأشخاص من تحرير المكون الإضافي أو رمز السمة) و XML-RPC pingbacks وحظر محاولات مصادقة متعددة لكل طلب XML-RPC (كلاهما سيجعل XML-RPC أقوى ضد الهجمات دون الحاجة إلى إيقاف تشغيله تمامًا).
• البحث عن مواقع WordPress القديمة الأخرى - سيؤدي هذا إلى التحقق من تثبيتات WordPress القديمة الأخرى على حساب الاستضافة الخاص بك. قد يسمح موقع WordPress واحد قديم به ثغرة أمنية للمهاجمين بخرق جميع المواقع الأخرى على نفس حساب الاستضافة.
• إرسال إعلامات البريد الإلكتروني - بالنسبة للمشكلات التي تتطلب التدخل ، يتم إرسال بريد إلكتروني إلى المستخدمين على مستوى المسؤول.

إدارة مواقع WP متعددة؟ قم بتحديث المكونات الإضافية والسمات والأساسية مرة واحدة من لوحة معلومات مزامنة iThemes

iThemes Sync هي لوحة القيادة المركزية الخاصة بنا لمساعدتك في إدارة مواقع WordPress المتعددة. من لوحة معلومات المزامنة ، يمكنك عرض التحديثات المتاحة لجميع مواقعك ثم تحديث المكونات الإضافية والسمات ونواة WordPress بنقرة واحدة . يمكنك أيضًا الحصول على إشعارات البريد الإلكتروني اليومية عند توفر تحديث إصدار جديد.

جرّب المزامنة مجانًا لمدة 30 يومًا

يمكن أن يساعد المكون الإضافي لأمان WordPress في تأمين موقع الويب الخاص بك

يوفر iThemes Security Pro ، المكون الإضافي لأمان WordPress ، أكثر من 30 طريقة لتأمين وحماية موقع الويب الخاص بك من الثغرات الأمنية الشائعة في WordPress. باستخدام WordPress والمصادقة الثنائية وحماية القوة الغاشمة وفرض كلمة مرور قوية وغير ذلك ، يمكنك إضافة طبقة إضافية من الأمان إلى موقع الويب الخاص بك.

مايكل مور

كل أسبوع ، يضع مايكل تقرير WordPress Vulnerability Report معًا للمساعدة في الحفاظ على أمان مواقعك. بصفته مدير المنتجات في iThemes ، فهو يساعدنا في مواصلة تحسين مجموعة منتجات iThemes. إنه الطالب الذي يذاكر كثيرا عملاقًا ويحب التعرف على كل ما يتعلق بالتكنولوجيا ، القديم والجديد. يمكنك أن تجد مايكل يتسكع مع زوجته وابنته ، يقرأ أو يستمع إلى الموسيقى عندما لا يعمل.