WordPress-Schwachstellenbericht: Oktober 2021, Teil 2

Anfällige Plugins und Themes sind der häufigste Grund, warum WordPress-Websites gehackt werden. Der wöchentliche WordPress-Schwachstellenbericht powered by WPScan behandelt aktuelle Schwachstellen in WordPress-Plugins, -Themen und -Kernen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Designs auf Ihrer Website ausführen.

Jede Schwachstelle hat eine Schweregradbewertung von Niedrig , Mittel , Hoch oder Kritisch . Die verantwortungsbewusste Offenlegung und Meldung von Schwachstellen ist ein wesentlicher Bestandteil der Sicherheit der WordPress-Community.

Bitte teilen Sie diesen Beitrag mit Ihren Freunden, um die Nachricht zu verbreiten und WordPress für alle sicherer zu machen.

Die neueste Version des WordPress-Kerns ist 5.8.1, die als Sicherheits- und Wartungsversion veröffentlicht wurde. Als bewährte Methode sollten Sie immer die neueste Version des WordPress-Kerns ausführen!

In diesem Abschnitt wurden die neuesten Sicherheitslücken in WordPress-Plugins offengelegt. Jede Plugin-Auflistung enthält die Art der Schwachstelle, die Versionsnummer, falls gepatcht, und die Bewertung des Schweregrads.

1. Einfache PayPal-Jetzt-kaufen-Schaltfläche

Plugin: Einfache PayPal-Jetzt-Kaufen-Schaltfläche
Schwachstelle : CSRF für Stored Cross-Site Scripting
Gepatcht in Version : 1.7.3
Schweregrad : Hoch

2. Veranstaltungen leicht gemacht

Plugin: Veranstaltungen leicht gemacht
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 2.2.24
Schweregrad : Niedrig

3. BP Bessere Botschaften

Plugin: BP Better Messages
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 1.9.9.41
Schweregrad : Hoch

Plugin: BP Better Messages
Schwachstelle : Mehrere CSRF
Gepatcht in Version : 1.9.9.41
Schweregrad : Mittel

4. Themify-Builder

Plugin: Themify Builder
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 5.3.2
Schweregrad : Hoch

5. Header für Ablauf in ferner Zukunft

Plugin: Far Future Expiry Header
Schwachstelle : Update der Plugin-Einstellungen über CSRF
Gepatcht in Version : 1.5
Schweregrad : Mittel

6. Bildquellenkontrolle

Plugin: Bildquellenkontrolle
Schwachstelle : Contributor+ Willkürliche Post-Meta-Wertänderung
Gepatcht in Version : 2.3.1
Schweregrad : Mittel

7. Logo-Slider und Showcase

Plugin: Logo-Slider und Showcase
Schwachstelle : Aktualisierung der Einstellungen des Editor-Plugins
Gepatcht in Version : 1.3.37
Schweregrad : Niedrig

8. Cardinity Payment Gateway für WooCommerce

Plugin: Cardinity Payment Gateway für WooCommerce
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 3.0.7
Schweregrad : Hoch

9. MP3-Audioplayer für Musik, Radio und Podcasts von Sonaar

Plugin: MP3 Audio Player für Musik, Radio & Podcast von Sonaar
Schwachstelle : Multiples Admin+ Cross Site Scripting
Gepatcht in Version : 2.4.2
Schweregrad : Niedrig

10. Paypal-Spende

Plugin: Paypal-Spende
Schwachstelle : CSRF für willkürliche Post-Löschung
Gepatcht in Version : 1.3.1
Schweregrad : Mittel

Plugin: Paypal-Spende
Schwachstelle : CSRF für Stored Cross-Site Scripting
Gepatcht in Version : 1.3.1
Schweregrad : Hoch

11. Demnächst verfügbar, im Bau- und Wartungsmodus von Dazzler

Plugin: Coming Soon, Under Construction & Maintenance Mode von Dazzler
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 1.6.7
Schweregrad : Niedrig

12. WordPress übersetzen – Google Sprachübersetzer

Plugin: WordPress übersetzen – Google Language Translator
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 6.0.12
Schweregrad : Niedrig

13. Produkthelfer von Booking.com

Plugin: Produkthelfer von Booking.com
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Niedrig

14. Booking.com-Banner-Ersteller

Plugin: Booking.com-Banner-Ersteller
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Niedrig

15. Einfacher Download-Monitor

Plugin: Einfacher Download-Monitor
Sicherheitslücke : Nicht autorisiertes Zurücksetzen des Protokolls
Gepatcht in Version : 3.9.6
Schweregrad : Mittel

Plugin: Einfacher Download-Monitor
Schwachstelle : Willkürliche Entfernung von Miniaturansichten
Gepatcht in Version : 3.9.6
Schweregrad : Mittel

Plugin: Einfacher Download-Monitor
Sicherheitslücke : Nicht authentifizierter Protokollzugriff
Gepatcht in Version : 3.9.6
Schweregrad : Mittel

Plugin: Einfacher Download-Monitor
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 3.9.5
Schweregrad : Hoch

Plugin: Einfacher Download-Monitor
Schwachstelle : Contributor+ Stored Cross-Site Scripting via File Thumbnail
Gepatcht in Version : 3.9.5
Schweregrad : Hoch

16. Zwei-Wege-Chat

Plugin: Zwei-Wege-Chat
Schwachstelle : Mehrere CSRF
Gepatcht in Version : 3.1.5
Schweregrad : Mittel

Plugin: Zwei-Wege-Chat
Schwachstelle : Admin+ Local File Inclusion
Gepatcht in Version : 3.1.5
Schweregrad : Niedrig

17. WP-Rückruf

Plugin: WP-Recall
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 16.24.48
Schweregrad : Hoch

18. JobSearch WP-Jobbörse

Plugin: JobSearch WP Jobbörse
Schwachstelle : Aktualisierung willkürlicher Blog-Optionen für Abonnenten+
Gepatcht in Version : 1.8.2
Schweregrad : Hoch

Plugin: JobSearch WP Jobbörse
Schwachstelle : Aktualisierung der Einstellungen des nicht authentifizierten Plugins
Gepatcht in Version : 1.8.2
Schweregrad : Mittel

Plugin: JobSearch WP Jobbörse
Schwachstelle : Abonnent + Zeitplananrufe hinzufügen/aktualisieren
Gepatcht in Version : 1.8.2
Schweregrad : Mittel

19. TheCartPress eCommerce-Warenkorb

Plugin: TheCartPress eCommerce Warenkorb
Schwachstelle : CSRF für Stored Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

20. MStore-API

Plugin: MStore-API
Schwachstelle : Nicht authentifizierter PHP-Datei-Upload
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Kritisch

21. Media File Renamer – Automatisches und manuelles Umbenennen

Plugin: Media File Renamer – Automatisches und manuelles Umbenennen
Schwachstelle : Medientitel/Dateiname/Sperrzustandsaktualisierung über CSRF
Gepatcht in Version : 5.2.7
Schweregrad : Mittel

22. Chargen-Kat

Plugin: Chargenkat
Schwachstelle : Abonnent + willkürliche Kategorien zu Beiträgen hinzufügen/einstellen/löschen
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Mittel

23. qÜbersetze X

Plugin: qTranslate X
Schwachstelle : Multiple Admin+ Stored Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Niedrig

24. Weltweite Reiseinformationen

Plugin: Weltreiseinformationen
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

25. WP-Umfrage Plus

Plugin: WP Survey Plus
Schwachstelle : Subscriber+ AJAX Calls
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

26. WP-Sitemap-Seite

Plugin: WP-Sitemap-Seite
Schwachstelle : Admin+ Stored Cross Site Scripting
Gepatcht in Version : Keine bekannte Lösung
Schweregrad : Niedrig

27. WP-Bannerisierung 2.0.0

Plugin: WP Bannerize 2.0.0
Schwachstelle : Authentifizierte SQL-Injection
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

28. Genie WP Favicon

Plugin: Genie WP Favicon
Schwachstelle : Willkürliche Favicon-Änderung über CSRF
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Mittel

29. Umbenennung von Phoenix Media

Plugin: Phoenix Media umbenennen
Schwachstelle : Urheber willkürliche Umbenennung von Mediendateien
Gepatcht in Version : 3.4.4
Schweregrad : Mittel

30. Echtzeit-Statistik des Besucherverkehrs

Plugin: Echtzeit-Statistik des Besucherverkehrs
Schwachstelle : Subscriber+ SQL Injection
Gepatcht in Version : 3.9
Schweregrad : Hoch

31. AddToAny Share-Schaltflächen

Plugin: AddToAny Share Buttons
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 1.7.48
Schweregrad : Niedrig

32. Beeindruckender Formularersteller

Plugin: Formidable Form Builder
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 5.0.07
Schweregrad : Niedrig

33. Kugelsichere Sicherheit

Plugin: BulletProof-Sicherheit
Schwachstelle : Offenlegung sensibler Informationen
Gepatcht in Version : 5.2
Schweregrad : Mittel

34. WP All-Export

Plugin: WP All Export
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : 1.3.1
Schweregrad : Niedrig

35. Leiten Sie die 404-Fehlerseite auf die Startseite oder benutzerdefinierte Seite mit Protokollen um

Plugin: 404-Fehlerseite auf Startseite oder benutzerdefinierte Seite mit Protokollen umleiten
Schwachstelle : Protokolllöschung über CSRF
Gepatcht in Version : 1.7.9
Schweregrad : Mittel

36. Greifen Sie auf den Demo-Importer zu

Plugin: Greifen Sie auf den Demo-Importer zu
Schwachstelle : Abonnent + beliebiger Datei-Upload
Gepatcht in Version : 1.0.7
Schweregrad : Hoch

37. Monitor herunterladen

Plugin: Monitor herunterladen
Schwachstelle : Nicht authentifiziertes Herunterladen von Protokollen
Gepatcht in Version : 1.9.7
Schweregrad : Mittel

Plugin: Monitor herunterladen
Sicherheitslücke : Reflected Cross-Site Scripting (XSS)
Gepatcht in Version : 1.7.1
Schweregrad : Mittel

Plugin: Monitor herunterladen
Schwachstelle : Authentifizierter Verzeichniseintrag
Gepatcht in Version : 1.6.4
Schweregrad : Mittel

Plugin: Monitor herunterladen
Sicherheitslücke : Multiple Reflected Cross-Site Scripting
Gepatcht in Version : 3.3.6.2
Schweregrad : Mittel

38. Unbegrenzte Popups

Plugin: Unbegrenzte PopUps
Schwachstelle : Author+ SQL Injection
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

39. Schreikasten

Plugin: Schreikasten
Schwachstelle : Author+ SQL-Injektionen
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

40. Inhalts-XMLRPC posten

Plug-in: Post-Content-XMLRPC
Schwachstelle : Author+ SQL-Injektionen
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

41. Wow-Formulare

Plugin: Wow-Formulare
Schwachstelle : Author+ SQL-Injektionen
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Hoch

42. Auto-Hyperlink

Plugin: G Auto-Hyperlink
Schwachstelle : Author+ SQL Injection
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Mittel

43. Chamäleon-CSS

Plugin: Chamäleon-CSS
Schwachstelle : Subscriber+ SQL Injection
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Kritisch

44. Spinnenkatalog

Plugin: SpiderCatalog
Schwachstelle : Author+ SQL Injection
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Mittel

45. Unterstützungsausschuss

Plugin: Support-Board
Schwachstelle : Agent+ Stored Cross-Site Scripting
Gepatcht in Version : 3.3.5
Schweregrad : Mittel

46. ​​Alterstor

Plugin: Age Gate
Schwachstelle : Authentifiziertes Stored Cross-Site Scripting
Gepatcht in Version : 2.16.4
Schweregrad : Mittel

47. Inline-bezogene Beiträge

Plugin: Inline Related Posts
Schwachstelle : Admin+ Cross-Site Scripting
Gepatcht in Version : 3.0.5
Schweregrad : Niedrig

Wie Sie diesem Bericht entnehmen können, werden jede Woche viele neue Sicherheitslücken in WordPress-Plugins und -Themen offengelegt. Wir wissen, dass es schwierig sein kann, über jede gemeldete Schwachstellenoffenlegung auf dem Laufenden zu bleiben, daher macht es das iThemes Security Pro-Plugin einfach sicherzustellen, dass auf Ihrer Website kein Design, Plugin oder keine WordPress-Kernversion mit einer bekannten Schwachstelle ausgeführt wird.

Holen Sie sich iThemes Security Pro mit Website-Überwachung rund um die Uhr

iThemes Security Pro, unser WordPress-Sicherheits-Plugin, bietet mehr als 50 Möglichkeiten zum Sichern und Schützen Ihrer Website vor gängigen WordPress-Sicherheitslücken. Mit WordPress, Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, starker Passwortdurchsetzung und mehr können Sie Ihrer Website zusätzliche Sicherheitsebenen hinzufügen.

Holen Sie sich iThemes Security Pro