WordPressの脆弱性のまとめ：2020年5月、パート2
公開: 2020-08-18新しいWordPressプラグインとテーマの脆弱性は、5月の後半に公開されたため、お知らせします。 この投稿では、最近のWordPressプラグイン、テーマ、コアの脆弱性、および脆弱なプラグインまたはテーマの1つをWebサイトで実行している場合の対処方法について説明します。
新しいWordPressプラグインとテーマの脆弱性は、4月の後半に公開されたため、お知らせします。 この投稿では、最近のWordPressプラグイン、テーマ、コアの脆弱性、および脆弱なプラグインまたはテーマの1つをWebサイトで実行している場合の対処方法について説明します。
WordPressの脆弱性のまとめは、次の4つのカテゴリに分類されます。
- WordPressコア
- WordPressプラグイン
- WordPressのテーマ
各脆弱性の脅威評価は、低、中、高、または重大です。
WordPressのコアの脆弱性
2020年5月に公開されたWordPressの脆弱性はありません。
WordPressプラグインの脆弱性
今月、これまでにいくつかの新しいWordPressプラグインの脆弱性が発見されました。 プラグインを更新するか、完全にアンインストールするには、以下の推奨アクションに従ってください。
1. Googleによるサイトキット–クリティカル
1.8.0より前のバージョンのSiteKit by Googleには、攻撃者が検索コンソールの所有者になることを可能にする特権昇格の脆弱性があります。
2.簡単な紹介文–重要
3.6より前のEasyTestimonialsバージョンには、Authenticated Stored Cross-SiteScriptingの脆弱性があります。
3. WP製品レビュー–高
3.7.6より前のバージョンのWPProduct Reviewには、認証されていない保存されたクロスサイトスクリプティングの脆弱性があります。
4.ログイン/サインアップポップアップ–クリティカル
ログイン/サインアップポップアップバージョンが1.5未満の場合、Authenticated Stored Cross-SiteScriptingの脆弱性があります。
5. 10Webによるフォトギャラリー–クリティカル
1.5.55より前のバージョンの10Webによるフォトギャラリーには、認証されていないSQLインジェクションの脆弱性があります。
6.チームメンバー–クリティカル
5.0.4より前のバージョンのチームメンバーには、Authenticated Stored Cross-SiteScriptingの脆弱性があります。
7. Visual Composer Webサイトビルダー–高
27.0より前のバージョンのVisualComposer Website Builderには、複数の認証済みクロスサイトスクリプティングの脆弱性があります。
8. WordPress無限スクロール–クリティカル
5.3.2より前のWordPressInfinite Scrollバージョンには、Authenticated SQLInjectionの脆弱性があります。
9. WPフロントエンドプロファイル–低
1.2.2より前のバージョンのWPフロントエンドプロファイルには、クロスサイトリクエストフォージェリの脆弱性があります。
10.有料メンバーシッププロ–中
2.3.3より前の有料メンバーシップProバージョンには、Authenticated SQLInjectionの脆弱性があります。
11. ThirstyAffiliatesアフィリエイトリンクマネージャー–中
3.9.3より前のThirstyAffiliatesAffiliate Link Managerバージョンには、Authenticated Stored Criss-SiteScriptingの脆弱性があります。
12.公式MailerLiteサインアップフォーム–重要
1.4.5より前の公式MailerLiteサインアップフォームバージョンには、複数のCSRFの脆弱性があります。
13.アドオンSweetAlertお問い合わせフォーム7–低
1.0.8より前のアドオンSweetAlertContact Form 7バージョンには、Authenticated Stored Cross-SiteScriptingの脆弱性があります。
14. 10Webによるフォームメーカー–高
以下の10WebバージョンのFormMakerには、1.13.36のAuthenticated SQLInjectionの脆弱性があります。
WordPressテーマ
5月の後半には、WordPressテーマの脆弱性は明らかにされていません。
WordPressのテーマとプラグインの脆弱性について積極的になる方法
古いソフトウェアを実行することが、WordPressサイトがハッキングされる最大の理由です。 WordPressサイトのセキュリティにとって、更新ルーチンがあることは非常に重要です。 更新を実行するには、少なくとも週に1回はサイトにログインする必要があります。
自動更新が役立ちます
自動更新は、あまり頻繁に変更されないWordPressWebサイトに最適です。 注意が不足していると、これらのサイトは無視され、攻撃に対して脆弱になることがよくあります。 推奨されるセキュリティ設定があっても、サイトで脆弱なソフトウェアを実行すると、攻撃者がサイトへのエントリポイントを与える可能性があります。
iThemes Security Proプラグインのバージョン管理機能を使用すると、WordPressの自動更新を有効にして、最新のセキュリティパッチを確実に入手できます。 これらの設定は、新しいバージョンに自動的に更新したり、サイトのソフトウェアが古くなったときにユーザーのセキュリティを強化したりするオプションでサイトを保護するのに役立ちます。
バージョン管理の更新オプション
- WordPressアップデート–最新のWordPressリリースを自動的にインストールします。
- プラグインの自動更新–最新のプラグインの更新を自動的にインストールします。 このサイトを毎日積極的に保守し、更新がリリースされた直後に手動でインストールしない限り、これを有効にする必要があります。
- テーマの自動更新–最新のテーマの更新を自動的にインストールします。 テーマにファイルのカスタマイズがない限り、これを有効にする必要があります。
- プラグインとテーマの更新をきめ細かく制御–手動で更新するか、リリースが安定するまで更新を遅らせたいプラグイン/テーマがある場合があります。 各プラグインまたはテーマを割り当てて、すぐに更新する（有効にする）か、まったく自動的に更新しない（無効にする）か、指定した日数の遅延で更新する（遅延）ようにする機会として、カスタムを選択できます。
重大な問題の強化と警告
- 古いソフトウェアを実行しているときにサイトを強化する–利用可能なアップデートが1か月間インストールされていない場合、サイトに保護を自動的に追加します。 iThemes Securityプラグインは、アップデートが1か月間インストールされていない場合、より厳密なセキュリティを自動的に有効にします。 まず、2要素が有効になっていないすべてのユーザーに、再度ログインする前に自分の電子メールアドレスに送信されたログインコードを提供するように強制します。次に、WPファイルエディターを無効にします（プラグインまたはテーマコードの編集をブロックします）。 、XML-RPC pingback、およびXML-RPC要求ごとの複数の認証試行をブロックします（どちらも、XML-RPCを完全にオフにすることなく、攻撃に対してより強力にします）。
- 他の古いWordPressサイトをスキャンする–これにより、ホスティングアカウントに他の古いWordPressインストールがないかチェックされます。 脆弱性のある単一の古いWordPressサイトでは、攻撃者が同じホスティングアカウント上の他のすべてのサイトを侵害する可能性があります。
- 電子メール通知の送信–介入が必要な問題については、管理者レベルのユーザーに電子メールが送信されます。
複数のWPサイトを管理していますか？ iThemes Syncダッシュボードからプラグイン、テーマ、コアを一度に更新
iThemes Syncは、複数のWordPressサイトの管理に役立つ中央ダッシュボードです。 同期ダッシュボードから、すべてのサイトで利用可能な更新を表示し、プラグイン、テーマ、およびWordPressコアをワンクリックで更新できます。 新しいバージョンのアップデートが利用可能になったときに、毎日電子メール通知を受け取ることもできます。
30日間無料で同期してみてください
WordPressセキュリティプラグインはあなたのウェブサイトを保護するのに役立ちます
WordPressセキュリティプラグインであるiThemesSecurity Proは、一般的なWordPressセキュリティの脆弱性からWebサイトを保護および保護するための30以上の方法を提供します。 WordPress、2要素認証、ブルートフォース保護、強力なパスワードエンフォースメントなどを使用すると、Webサイトにセキュリティの層を追加できます。
Michaelは毎週、WordPressの脆弱性レポートをまとめて、サイトを安全に保つのに役立てています。 iThemesのプロダクトマネージャーとして、彼は私たちがiThemes製品ラインナップを改善し続けるのを手伝ってくれます。 彼は巨大なオタクであり、新旧のすべての技術について学ぶのが大好きです。 マイケルが妻と娘と一緒に遊んだり、仕事をしていないときに音楽を読んだり聞いたりしているのを見つけることができます。
