Informe de vulnerabilidad de WordPress: mayo de 2021, parte 4
Publicado: 2021-05-27Los complementos y temas vulnerables son la razón número 1 por la que los sitios web de WordPress son pirateados. El Informe de vulnerabilidad de WordPress semanal impulsado por WPScan cubre las vulnerabilidades principales, el tema y el complemento de WordPress reciente, y qué hacer si ejecuta uno de los complementos o temas vulnerables en su sitio web.
Cada vulnerabilidad tendrá una clasificación de gravedad de Baja , Media , Alta o Crítica . La divulgación responsable y la notificación de vulnerabilidades es una parte integral para mantener segura la comunidad de WordPress. Comparta esta publicación con sus amigos para ayudar a correr la voz y hacer que WordPress sea más seguro para todos.
Vulnerabilidades del núcleo de WordPress
Este mes trae una versión de seguridad de WordPress 5.7.2 con un problema de seguridad que afecta a las versiones de WordPress entre 3.7 y 5.7. Si aún no ha actualizado a 5.7, todas las versiones de WordPress desde 3.7 también se han actualizado para solucionar un problema de seguridad de inyección de objetos en PHPMailer.
1. Versión de seguridad de WordPress 5.7.2
Vulnerabilidad : inyección de objetos en PHPMailer
Parcheado en la versión : 5.7.2
Puntuación de gravedad : media
Vulnerabilidades de los complementos de WordPress
1. Creador de embudos de CartFlows
Complemento: Funnel Builder de CartFlows
Vulnerabilidad : secuencias de comandos entre sitios almacenadas y autenticadas
Parcheado en la versión : 1.6.13
Gravedad : media
2. Botones de avance / retroceso de página de desplazamiento suave
Complemento: botones de avance / retroceso de página de desplazamiento suave
Vulnerabilidad : secuencias de comandos entre sitios almacenadas y autenticadas
Parcheado en la versión : 1.4
Puntuación de gravedad : media
3. Complemento de WordPress para imágenes instantáneas
Complemento: Complemento de WordPress para imágenes instantáneas
Vulnerabilidad : XFS y secuencias de comandos entre sitios almacenadas y autenticadas
Parcheado en la versión : 4.4.0.1
Puntuación de gravedad : media
4. CM Registration Pro
Complemento: CM Registration Pro
Vulnerabilidad : inyección de objetos PHP
Parcheado en la versión : 3.2.1
Puntuación de gravedad : media
5. Oración de WP
Complemento: WP Prayer
Vulnerabilidad : secuencias de comandos entre sitios almacenadas y autenticadas
Parcheado en la versión : 1.6.2
Puntuación de gravedad : alta
6. Estadísticas de WP
Complemento: Estadísticas de WP
Vulnerabilidad : inyección SQL no autenticada
Parcheado en la versión : 13.0.8
Puntuación de gravedad : alta
7. FlightLog
Complemento : FlightLog
Vulnerabilidad : inyección de SQL autenticado
Parcheado en la versión : Sin solución conocida
Puntuación de gravedad : alta
8. Video incrustado
Complemento : FlightLog
Vulnerabilidad : inyección de SQL autenticado
Parcheado en la versión : Sin solución conocida
Puntuación de gravedad : alta
Vulnerabilidades del tema de WordPress
1. Servicios de reparación de automóviles
Tema: Servicios de reparación de automóviles
Vulnerabilidad : Scripting entre sitios reflejados no autenticados y XFS
Parcheado en la versión : 4.0
Puntuación de gravedad : alta
Una nota sobre divulgación responsable
Quizás se pregunte por qué se revelaría una vulnerabilidad si les da a los piratas informáticos un exploit para atacar. Bueno, es muy común que un investigador de seguridad encuentre e informe de forma privada la vulnerabilidad al desarrollador de software.
Con la divulgación responsable , el informe inicial del investigador se realiza de forma privada a los desarrolladores de la empresa propietaria del software, pero con el acuerdo de que los detalles completos se publicarán una vez que se haya puesto a disposición un parche. En el caso de vulnerabilidades de seguridad importantes, puede haber un ligero retraso en la divulgación de la vulnerabilidad para que más personas tengan tiempo de parchear.
El investigador de seguridad puede proporcionar una fecha límite para que el desarrollador de software responda al informe o proporcione un parche. Si no se cumple este plazo, el investigador puede revelar públicamente la vulnerabilidad para presionar al desarrollador para que emita un parche.
Revelar públicamente una vulnerabilidad y aparentemente introducir una vulnerabilidad de día cero, un tipo de vulnerabilidad que no tiene parche y está siendo explotada en la naturaleza, puede parecer contraproducente. Pero es la única ventaja que tiene un investigador para presionar al desarrollador para que parchee la vulnerabilidad.
Si un pirata informático descubriera la vulnerabilidad, podría usar el Exploit silenciosamente y causar daño al usuario final (este es usted), mientras que el desarrollador de software sigue contento con dejar la vulnerabilidad sin parchear. Project Zero de Google tiene pautas similares cuando se trata de revelar vulnerabilidades. Publican los detalles completos de la vulnerabilidad después de 90 días, independientemente de que se haya parcheado o no.
Cómo proteger su sitio web de WordPress de complementos y temas vulnerables
El escáner de sitios del complemento iThemes Security Pro es una excelente manera de asegurar y proteger su sitio web de WordPress de la causa número uno de todos los hackeos de software: complementos y temas obsoletos con vulnerabilidades conocidas.
Site Scanner comprueba su sitio en busca de vulnerabilidades conocidas y aplica automáticamente un parche si hay alguno disponible.
3 tipos de vulnerabilidades de WordPress controladas por iThemes Security Pro
- Vulnerabilidades de WordPress
- Vulnerabilidades de complementos
- Vulnerabilidades del tema
Para habilitar el escaneo del sitio en nuevas instalaciones, navegue hasta la configuración de iThemes Security Pro y haga clic en el botón Habilitar en el módulo de configuración del escaneo del sitio .
Para activar un escaneo del sitio manual, haga clic en el botón Escanear ahora en el widget de escaneo del sitio ubicado en la barra lateral derecha de la configuración de seguridad.
Los resultados de Site Scan se mostrarán en el widget.
Si Site Scan detecta una vulnerabilidad, haga clic en el enlace de la vulnerabilidad para ver la página de detalles.
En la página de vulnerabilidades de Site Scan, verá si hay una solución disponible para la vulnerabilidad. Si hay un parche disponible, puede hacer clic en el botón Actualizar complemento para aplicar la corrección en su sitio web.
Puede haber una demora entre la disponibilidad de un parche y la actualización de la base de datos de vulnerabilidades de seguridad de iThemes para reflejar la solución. En este caso, puede silenciar la notificación para no recibir más alertas relacionadas con la vulnerabilidad.
iThemes Security Pro, nuestro complemento de seguridad de WordPress, ofrece más de 50 formas de asegurar y proteger su sitio web de las vulnerabilidades de seguridad comunes de WordPress. Con WordPress, autenticación de dos factores, protección de fuerza bruta, aplicación de contraseña sólida y más, puede agregar una capa adicional de seguridad a su sitio web.
Obtén iThemes Security Pro
Póngase al día con los informes anteriores de vulnerabilidades de WordPress para mayo de 2021
¿Te perdiste un informe? Aquí están los informes de mayo de 2021.
- Mayo de 2021 Parte 3
- Mayo de 2021 Parte 2
- Mayo de 2021 Parte 1
Cada semana, Michael elabora el Informe de vulnerabilidad de WordPress para ayudar a mantener sus sitios seguros. Como Product Manager en iThemes, nos ayuda a seguir mejorando la línea de productos de iThemes. Es un nerd gigante y le encanta aprender sobre tecnología, tanto antigua como nueva. Puede encontrar a Michael pasando el rato con su esposa e hija, leyendo o escuchando música cuando no está trabajando.
