WordPress-Schwachstellenbericht: April 2021, Teil 2

In der zweiten Aprilwoche wurden neue Schwachstellen in WordPress-Plugins und Themes bekannt. Dieser Beitrag behandelt die neuesten WordPress-Plugin-, Theme- und Core-Schwachstellen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Themes auf Ihrer Website ausführen.

Das WordPress Vulnerability Roundup ist in drei verschiedene Kategorien unterteilt: WordPress-Kern, WordPress-Plugins und WordPress-Themes.

Jede Schwachstelle hat eine Schweregradbewertung von Niedrig , Mittel , Hoch oder Kritisch . Die Schweregradbewertungen basieren auf dem Common Vulnerability Scoring System.

WordPress Core-Schwachstellen

Die neueste Version von WordPress ist derzeit 5.7. Stellen Sie sicher, dass auf allen Ihren Websites die neueste Version des WordPress-Kerns ausgeführt wird.

Schwachstellen im WordPress-Plugin

Dieser Abschnitt behandelt Schwachstellen in WordPress-Plugins mit Anweisungen, ob das anfällige Plugin aktualisiert oder entfernt werden soll.

1. iThemes Security Free & Pro

Sicherheitslücke : Backend-Bypass ausblenden
Gepatcht in Version (iThemes Security) : 7.9.1
In Version gepatcht (iThemes Security Pro) : 6.8.4
Schweregrad : Hoch – CVSS:3.1AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/

Die Funktion Backend ausblenden in iThemes Security ermöglicht es Benutzern, die Anmeldeseite zu verbergen, indem sie ihren Namen ändern und den Zugriff auf wp-login.php und wp-admin verhindern. In Versionen unter 7.9.1 von iThemes Security und unter 6.8.4 von iThemes Security Pro wurde ein Fehler entdeckt, der die versteckte Anmeldeseite auffindbar macht und die Wirksamkeit der Funktion verringert.

Aktualisieren Sie auf Version 7.9.1 von iThemes Security und 6.8.4 von iThemes Security Pro, um den Workaround-Patch zur Umgehung von Hide Backed zu erhalten.

Hinweis: Sie sollten sich bewusst sein, dass die Funktion zum Ausblenden des Backends nicht vollständig ist, egal wie sehr wir versuchen, sie zu verbessern. Tatsächlich ist die Effektivität des Ausblendens der Anmeldeseite Ihrer Website aus Sicherheitsgründen unser WordPress-Sicherheitsmythos Nummer 1 . Wieso den? Die Wahrheit ist, dass Sie das Backend Ihrer Website nicht vollständig ausblenden können. Die Anmeldeseite kann durch WordPress-Kern, Plugins oder Themes angezeigt werden, wenn Links zur Anmeldeseite gedruckt werden (wie Bestätigungen für Datenschutzanfragen oder Front-End-Anmeldeformulare).

Hide Backend sollte nicht als Ersatz für überlegene Website-Sicherheitsmaßnahmen wie das Erzwingen starker Passwörter und Zwei-Faktor-Authentifizierung verwendet werden.

2. Einfache Mitgliedschaft

Sicherheitslücke : Authentifizierte SQL-Injections
Gepatcht in Version : 4.0.4
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 4.0.4 aktualisieren.

3. WPBakery Page Builder-Zwischenablage

Sicherheitslücke : Abonnenten+ Gespeichertes Cross-Site-Scripting
Gepatcht in Version : 4.5.6
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Sicherheitslücke : Nicht autorisiertes Update für willkürliche Lizenzoptionen
Gepatcht in Version : 4.5.8
Schweregrad : Mittel – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 4.5.8+ aktualisieren

4. OpenID Connect generischer Client

Sicherheitslücke : Reflektiertes Cross-Site-Scripting
Gepatcht in Version : 3.8.2
Schweregrad : Mittel – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 3.8.2+ aktualisieren.

5. Stoppen Sie Spammer

Sicherheitslücke : Reflektiertes Cross-Site-Scripting
Gepatcht in Version : 2021.9
Schweregrad : Mittel – CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 2021.9 aktualisieren.

6. Bilder

Sicherheitslücke : Nicht authentifizierter willkürlicher Datei-Upload auf RCE
In Version gepatcht : Kein Fix bekannt
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

7. WorkScout Core-Plugin

Sicherheitslücke : Authentifiziertes gespeichertes XSS & XFS
Gepatcht in Version : 1.3.4
Schweregrad : Hoch – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 1.3.4+ aktualisieren.

8. Larsens-Kalender

Sicherheitslücke : Gespeichertes Cross-Site-Scripting
In Version gepatcht : Kein Fix bekannt
Schweregrad : Hoch – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

---

9. Kontaktformular Check Tester

Sicherheitslücke : Unterbrochene Zugriffskontrolle für Cross-Site-Scripting
In Version gepatcht : Kein Fix bekannt
Schweregrad : Hoch – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

10. Branchenverzeichnis-Plugin

Sicherheitslücke : willkürlicher Export von Listen
Gepatcht in Version : 5.11.2
Schweregrad : Hoch – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Sicherheitslücke : Aktualisierung des willkürlichen Zahlungsverlaufs
Gepatcht in Version : 5.11.2
Schweregrad : Mittel – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Sicherheitslücke : Authentifiziertes gespeichertes Cross-Site-Scripting
Gepatcht in Version : 5.11.2
Schweregrad : Mittel – CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 5.11.2+ aktualisieren.

11. Event-Banner

Sicherheitslücke : Willkürlicher Datei-Upload auf RCE
In Version gepatcht : Kein Fix bekannt
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

12. Classyfrieds

Sicherheitslücke : Authentifizierter willkürlicher Datei-Upload auf RCE
In Version gepatcht : Kein Fix bekannt
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

13. Import von Hochschulverlegern

Sicherheitslücke : Willkürlicher Datei-Upload auf RCE
In Version gepatcht : Kein Fix bekannt
Schweregrad : Kritisch – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Diese Schwachstelle wurde NICHT gepatcht. Deinstallieren und löschen Sie das Plugin, bis ein Patch veröffentlicht wird.

Schwachstellen im WordPress-Theme

Ein WordPress-Sicherheits-Plugin kann helfen, Ihre Website zu schützen

iThemes Security Pro, unser WordPress-Sicherheits-Plugin, bietet über 50 Möglichkeiten, Ihre Website zu sichern und vor gängigen WordPress-Sicherheitslücken zu schützen. Mit WordPress, Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, starker Passwortdurchsetzung und mehr können Sie Ihrer Website eine zusätzliche Sicherheitsebene hinzufügen.

Holen Sie sich iThemes Security Pro

Michael Moore

Jede Woche erstellt Michael den WordPress-Schwachstellenbericht, um die Sicherheit Ihrer Websites zu gewährleisten. Als Produktmanager bei iThemes hilft er uns, die Produktpalette von iThemes weiter zu verbessern. Er ist ein riesiger Nerd und liebt es, alles über Technik zu lernen, alt und neu. Sie können Michael mit seiner Frau und seiner Tochter treffen, lesen oder Musik hören, wenn er nicht arbeitet.