Zusammenfassung der WordPress-Sicherheitslücke: Mai 2020, Teil 2

In der zweiten Maihälfte wurden neue Schwachstellen in WordPress-Plugins und Themes bekannt, daher möchten wir Sie auf dem Laufenden halten. In diesem Beitrag behandeln wir die neuesten WordPress-Plugin-, Theme- und Core-Schwachstellen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Themes auf Ihrer Website ausführen.

In der zweiten Aprilhälfte wurden neue Sicherheitslücken in WordPress-Plugins und Themes bekannt, daher möchten wir Sie auf dem Laufenden halten. In diesem Beitrag behandeln wir die neuesten WordPress-Plugin-, Theme- und Core-Schwachstellen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Themes auf Ihrer Website ausführen.

Das WordPress Vulnerability Roundup ist in vier verschiedene Kategorien unterteilt:

1. WordPress-Kern
2. WordPress-Plugins
3. WordPress-Themes

Jede Schwachstelle hat eine Bedrohungsbewertung von Niedrig , Mittel , Hoch oder Kritisch .

WordPress Core-Schwachstellen

Im Mai 2020 wurden keine WordPress-Sicherheitslücken bekannt gegeben.

Schwachstellen im WordPress-Plugin

In diesem Monat wurden bisher mehrere neue Sicherheitslücken im WordPress-Plugin entdeckt. Befolgen Sie die unten vorgeschlagene Aktion, um das Plugin zu aktualisieren oder vollständig zu deinstallieren.

1. Site-Kit von Google – Kritisch

Site Kit by Google-Versionen unter 1.8.0 weisen eine Privilege Escalation-Schwachstelle auf, die es einem Angreifer ermöglicht, ein Search Console-Besitzer zu werden.

2. Einfache Testimonials – Kritisch

Easy Testimonials-Versionen unter 3.6 weisen eine Sicherheitsanfälligkeit für Authenticated Stored Cross-Site Scripting auf.

3. WP-Produktbewertung – Hoch

WP Product Review-Versionen unter 3.7.6 weisen eine Schwachstelle für nicht authentifiziertes gespeichertes Cross-Site-Scripting auf.

4. Login/Anmelde-Popup – Kritisch

Login/Signup-Popup-Versionen unter 1.5 weisen eine Sicherheitsanfälligkeit bezüglich Authenticated Stored Cross-Site Scripting auf.

5. Fotogalerie von 10Web – Kritisch

Photo Gallery von 10Web-Versionen unter 1.5.55 weisen eine Unauthenticated SQL Injection-Schwachstelle auf.

6. Teammitglieder – Kritisch

Teammitglieder-Versionen unter 5.0.4 weisen eine Sicherheitsanfälligkeit bezüglich Authenticated Stored Cross-Site Scripting auf.

7. Visual Composer Website Builder – Hoch

Visual Composer Website Builder-Versionen unter 27.0 weisen mehrere authentifizierte Cross-Site-Scripting-Schwachstellen auf.

8. WordPress Infinite Scroll – Kritisch

WordPress Infinite Scroll Versionen unter 5.3.2 haben eine Authenticated SQL Injection-Schwachstelle.

9. WP-Frontend-Profil – Niedrig

WP-Frontend-Profilversionen unter 1.2.2 weisen eine Cross Site Request Forgery-Schwachstelle auf.

10. Bezahlte Mitgliedschaften Pro – Mittel

Paid Memberships Pro Versionen unter 2.3.3 weisen eine Authenticated SQL Injection-Schwachstelle auf.

11. ThirstyAffiliates Affiliate Link Manager – Mittel

ThirstyAffiliates Affiliate Link Manager-Versionen unter 3.9.3 weisen eine Sicherheitsanfälligkeit bezüglich Authenticated Stored Criss-Site Scripting auf.

12. Offizielle MailerLite-Anmeldeformulare – Kritisch

Offizielle MailerLite-Anmeldeformular-Versionen unter 1.4.5 weisen mehrere CSRF-Schwachstellen auf.

13. Add-on SweetAlert Kontaktformular 7 – Niedrig

Add-on SweetAlert Contact Form 7-Versionen unter 1.0.8 weisen eine Sicherheitsanfälligkeit bezüglich Authenticated Stored Cross-Site Scripting auf.

14. Form Maker von 10Web – Hoch

Form Maker von 10Web Versionen unten haben 1.13.36 eine authentifizierte SQL Injection-Schwachstelle.

WordPress-Themes

In der zweiten Maihälfte wurden keine Schwachstellen im WordPress-Theme bekannt gegeben.

So gehen Sie proaktiv bei WordPress-Theme- und Plugin-Schwachstellen vor

Das Ausführen veralteter Software ist der Hauptgrund dafür, dass WordPress-Sites gehackt werden. Es ist entscheidend für die Sicherheit Ihrer WordPress-Site, dass Sie eine Update-Routine haben. Sie sollten sich mindestens einmal pro Woche bei Ihren Websites anmelden, um Aktualisierungen durchzuführen.

Automatische Updates können helfen

Automatische Updates sind eine gute Wahl für WordPress-Websites, die sich nicht sehr oft ändern. Durch mangelnde Aufmerksamkeit werden diese Websites oft vernachlässigt und anfällig für Angriffe. Selbst mit den empfohlenen Sicherheitseinstellungen kann das Ausführen anfälliger Software auf Ihrer Site einem Angreifer einen Einstiegspunkt in Ihre Site bieten.

Mit Hilfe des iThemes Security Pro Plugins Features Versionsverwaltung können Sie die automatische Wordpress - Updates aktivieren , um sicherzustellen , dass Sie den neuesten Sicherheits - Patches zu bekommen. Diese Einstellungen tragen zum Schutz Ihrer Site mit Optionen zum automatischen Aktualisieren auf neue Versionen oder zur Erhöhung der Benutzersicherheit bei veralteter Site-Software bei.

Update-Optionen für die Versionsverwaltung

• WordPress-Updates – Installieren Sie automatisch die neueste WordPress-Version.
• Automatische Plugin-Updates – Installieren Sie automatisch die neuesten Plugin-Updates. Dies sollte aktiviert werden, es sei denn, Sie pflegen diese Site täglich aktiv und installieren die Updates kurz nach der Veröffentlichung manuell.
• Automatische Theme-Updates – Installieren Sie automatisch die neuesten Theme-Updates. Dies sollte aktiviert sein, es sei denn, Ihr Design verfügt über Dateianpassungen.
• Granulare Kontrolle über Plugin- und Theme-Updates – Möglicherweise haben Sie Plugins/Themes, die Sie entweder manuell aktualisieren oder die Aktualisierung verzögern möchten, bis die Veröffentlichung Zeit hatte, sich als stabil zu erweisen. Sie können Benutzerdefiniert auswählen, um jedem Plugin oder Design die Möglichkeit zu geben, entweder sofort zu aktualisieren ( Aktivieren ), überhaupt nicht automatisch zu aktualisieren ( Deaktivieren ) oder mit einer Verzögerung von einer bestimmten Anzahl von Tagen ( Verzögerung ) zu aktualisieren.

Stärkung und Warnung bei kritischen Problemen

• Site stärken, wenn veraltete Software ausgeführt wird – Fügen Sie der Site automatisch zusätzlichen Schutz hinzu, wenn ein verfügbares Update einen Monat lang nicht installiert wurde. Das iThemes Security-Plugin aktiviert automatisch strengere Sicherheit, wenn ein Update einen Monat lang nicht installiert wurde. Erstens werden alle Benutzer, bei denen die Zwei-Faktor-Funktion nicht aktiviert ist, gezwungen, einen Anmeldecode anzugeben, der an ihre E-Mail-Adresse gesendet wird, bevor sie sich wieder anmelden. Zweitens wird der WP-Dateieditor deaktiviert (um Personen daran zu hindern, Plugin- oder Themencode zu bearbeiten). , XML-RPC-Pingbacks und blockieren mehrere Authentifizierungsversuche pro XML-RPC-Anfrage (beide machen XML-RPC stärker gegen Angriffe, ohne es vollständig deaktivieren zu müssen).
• Nach anderen alten WordPress-Sites suchen – Dies wird nach anderen veralteten WordPress-Installationen in Ihrem Hosting-Konto suchen. Eine einzelne veraltete WordPress-Site mit einer Schwachstelle könnte es Angreifern ermöglichen, alle anderen Sites auf demselben Hosting-Konto zu kompromittieren.
• E-Mail-Benachrichtigungen senden – Bei Problemen, die ein Eingreifen erfordern, wird eine E-Mail an Benutzer auf Administratorebene gesendet.

Mehrere WP-Sites verwalten? Aktualisieren Sie Plugins, Themes und Core auf einmal über das iThemes Sync Dashboard

iThemes Sync ist unser zentrales Dashboard, mit dem Sie mehrere WordPress-Sites verwalten können. Über das Synchronisierungs-Dashboard können Sie verfügbare Updates für alle Ihre Websites anzeigen und dann Plugins, Themes und WordPress-Core mit einem Klick aktualisieren . Sie können auch tägliche E-Mail-Benachrichtigungen erhalten, wenn ein neues Versions-Update verfügbar ist.

Sync 30 Tage lang kostenlos testen

Ein WordPress-Sicherheits-Plugin kann helfen, Ihre Website zu schützen

iThemes Security Pro, unser WordPress-Sicherheits-Plugin, bietet über 30 Möglichkeiten, Ihre Website zu sichern und vor gängigen WordPress-Sicherheitslücken zu schützen. Mit WordPress, Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, starker Passwortdurchsetzung und mehr können Sie Ihrer Website eine zusätzliche Sicherheitsebene hinzufügen.

Michael Moore

Jede Woche erstellt Michael den WordPress-Schwachstellenbericht, um die Sicherheit Ihrer Websites zu gewährleisten. Als Produktmanager bei iThemes hilft er uns, die Produktpalette von iThemes weiter zu verbessern. Er ist ein riesiger Nerd und liebt es, alles über Technik zu lernen, alt und neu. Sie können Michael mit seiner Frau und seiner Tochter treffen, lesen oder Musik hören, wenn er nicht arbeitet.