Résumé des vulnérabilités WordPress : janvier 2020, partie 2
Publié: 2020-08-18De nouvelles vulnérabilités de plugins et de thèmes WordPress ont été divulguées au cours de la deuxième quinzaine de janvier, nous souhaitons donc vous tenir au courant. Dans cet article, nous couvrons les récentes vulnérabilités des plugins WordPress, des thèmes et des cœurs et ce qu'il faut faire si vous exécutez l'un des plugins ou thèmes vulnérables sur votre site Web.
Le résumé des vulnérabilités WordPress est divisé en quatre catégories différentes :
- 1. Noyau WordPress
- 2. Extensions WordPress
- 3. Thèmes WordPress
- 4. Infractions sur le Web
Vulnérabilités principales de WordPress
Vulnérabilités du plugin WordPress
Plusieurs nouvelles vulnérabilités de plugin WordPress ont été découvertes ce mois-ci jusqu'à présent. Assurez-vous de suivre l'action suggérée ci-dessous pour mettre à jour le plugin ou le désinstaller complètement.
1. Extraits de code
Les versions 2.13.3 et inférieures des extraits de code présentent une vulnérabilité de contrefaçon de requête intersites qui peut conduire à une attaque d'exécution de code à distance.
Ce que tu devrais faire
2. Réinitialisation de la base de données WP
Les versions 3.1 et inférieures de WP Database Reset présentent deux vulnérabilités. La première vulnérabilité consisterait à ce qu'un utilisateur non authentifié réinitialise n'importe quelle table de base de données à l'état de configuration initial de WordPress. La deuxième vulnérabilité permettrait à n'importe quel utilisateur d'accorder à son compte des privilèges administratifs et de supprimer d'autres utilisateurs de la table.
Ce que tu devrais faire
3. Quiz enchaîné
Les versions 1.1.8 et inférieures de Chained Quiz sont vulnérables à une attaque XSS réfléchie non authentifiée.
Ce que tu devrais faire
4. Resim Ara
Resim Ara version 3.0 et inférieure est vulnérable à une attaque XSS réfléchie non authentifiée.
Ce que tu devrais faire
5. Formulaires Marketo et suivi
Marketo Forms and Tracking version 3.2.2 et les versions antérieures sont vulnérables à une attaque de script inter-sites qui pourrait conduire à une contrefaçon de requête inter-sites en raison d'un manque de vérifications et de désinfection CRSF.
Ce que tu devrais faire
6. Couleur de la barre d'administration contextuelle
Contextual Adminbar Color versions 0.2 et inférieures ont une vulnérabilité Authenticated Stored Cross-Site Scripting.
Ce que tu devrais faire
7. Diaporama 2J
Les versions 1.3.33 et inférieures de 2J SlideShow ont une vulnérabilité de désactivation de plug-in arbitraire authentifiée qui permettra à un utilisateur avec des privilèges minimaux, comme un abonné, de désactiver tout plug-in installé sur le site.
Ce que tu devrais faire
8. Chatbot avec IBM Watson
Chatbot avec IBM Watson versions 0.8.20 et inférieures inclut une vulnérabilité XSS basée sur DOM qui permettra à un attaquant distant d'exécuter JavaScript dans le navigateur de la victime en incitant la victime à coller du code HTML dans la boîte de discussion.
Ce que tu devrais faire
9. WP Accessibilité
Les versions 1.6.10 et inférieures de WP Accessibility présentent une vulnérabilité mineure de script intersites stocké authentifié dans la section « Styles pour les liens sautés lorsqu'ils ont le focus » du plug-in WP Accessibility.
Ce que tu devrais faire
10. AccessAlly
Les versions d'AccessAlly inférieures à 3.3.2 ont une vulnérabilité d'exécution PHP arbitraire. La vulnérabilité permet à un attaquant d'exécuter du code PHP à l'aide du widget de connexion. La vulnérabilité a été exploitée à l'état sauvage.
Ce que tu devrais faire
11. Membre ultime
Les versions Ultimate Member 2.1.2 et inférieures ont une référence d'objet directe non sécurisée qui permettrait à un attaquant de modifier les profils et les photos de couverture d'autres utilisateurs
Ce que tu devrais faire
12. FAQ WP DS Plus
Les versions 1.4.1 et inférieures de WP DS FAQ Plus sont vulnérables à une attaque de type Stored Cross-Site Scripting.
Ce que tu devrais faire
13. wpCentral
wpCentral versions 1.4.7 et inférieures ont une vulnérabilité d'escalade de privilèges qui permettra à tout utilisateur connecté d'augmenter ses privilèges. Si vous autorisez quiconque à s'inscrire et à créer un utilisateur sur votre site, un attaquant pourrait créer un nouvel utilisateur avec le rôle d'utilisateur abonné, puis s'attribuer des privilèges d'administrateur.
Ce que tu devrais faire
14. WPS Masquer la connexion
Les versions 1.5.4.2 et antérieures de WPS Hide Login présentaient une vulnérabilité qui permettrait à un attaquant de contourner la connexion secrète . Si en 2020 vous utilisez toujours une URL de connexion personnalisée comme stratégie de sécurité, veuillez consulter nos 5 règles simples pour la sécurité de connexion WordPress.
Ce que tu devrais faire
15. Formulaire de contact propre et simple
Contact Form Clean and Simple versions 4.7.0 et inférieures ont une vulnérabilité Stored Cross-Site Forgery qui permettrait à un utilisateur doté de capacités d'administrateur de soumettre un code malveillant via les options du plugin. Le code malveillant serait alors exécuté sur chaque page avec le formulaire de contact.
Ce que tu devrais faire
16. Formulaire des champs calculés
Les versions 1.0.353 et inférieures du formulaire de champs calculés présentent une vulnérabilité de type Authenticated Stored Cross-Site Scripting. La vulnérabilité permettra à un utilisateur authentifié ayant accès à modifier ou à créer du contenu de formulaire de champs calculés pour injecter du javascript dans des champs de saisie tels que "nom de champ" et "nom de formulaire".
Ce que tu devrais faire
17. Flamant rose
Flamingo versions 2.1 et inférieures ont une vulnérabilité d'injection CSV. La vulnérabilité permettra aux utilisateurs disposant de privilèges de bas niveau d'injecter une commande du système d'exploitation qui sera incluse dans le fichier CSV exporté, ce qui pourrait conduire à l'exécution de code malveillant.
Ce que tu devrais faire
Thèmes WordPress
1. Place de la voiture
Les versions 2.2.0 et inférieures de CarSpot présentent plusieurs vulnérabilités, notamment 2 vulnérabilités distinctes de script intersite persistant authentifié et une vulnérabilité de référence directe d'objet non sécurisé.
Ce que tu devrais faire
2. Houzez – Immobilier
Houzez – Real Estate versions 1.8.3.1 et inférieures présentent une vulnérabilité de script intersites non authentifié.
Ce que tu devrais faire
Comment être proactif sur les vulnérabilités des thèmes et plugins WordPress
L'exécution de logiciels obsolètes est la principale raison pour laquelle les sites WordPress sont piratés. Il est crucial pour la sécurité de votre site WordPress que vous ayez une routine de mise à jour. Vous devez vous connecter à vos sites au moins une fois par semaine pour effectuer des mises à jour.
Comment les mises à jour automatiques peuvent vous aider
Les mises à jour automatiques sont un excellent choix pour les sites Web WordPress qui ne changent pas très souvent. Le manque d'attention laisse souvent ces sites négligés et vulnérables aux attaques. Même avec les paramètres de sécurité recommandés, l'exécution de logiciels vulnérables sur votre site peut donner à un attaquant un point d'entrée sur votre site.
À l'aide de la fonction de gestion des versions du plug-in iThemes Security Pro, vous pouvez activer les mises à jour automatiques de WordPress pour vous assurer d'obtenir les derniers correctifs de sécurité. Ces paramètres aident à protéger votre site avec des options pour mettre à jour automatiquement vers de nouvelles versions ou pour augmenter la sécurité des utilisateurs lorsque le logiciel du site est obsolète.
Options de mise à jour de la gestion des versions
- Mises à jour WordPress – Installez automatiquement la dernière version de WordPress.
- Mises à jour automatiques des plugins – Installez automatiquement les dernières mises à jour des plugins. Cela devrait être activé, sauf si vous maintenez activement ce site quotidiennement et installez les mises à jour manuellement peu de temps après leur publication.
- Mises à jour automatiques du thème – Installez automatiquement les dernières mises à jour du thème. Cela devrait être activé sauf si votre thème a des personnalisations de fichiers.
- Contrôle granulaire des mises à jour de plugins et de thèmes – Vous pouvez avoir des plugins/thèmes que vous souhaitez soit mettre à jour manuellement, soit retarder la mise à jour jusqu'à ce que la version ait eu le temps de s'avérer stable. Vous pouvez choisir Personnalisé pour avoir la possibilité d'attribuer à chaque plugin ou thème une mise à jour immédiate ( Activer ), ne pas mettre à jour automatiquement ( Désactiver ) ou une mise à jour avec un délai d'un nombre de jours spécifié ( Délai ).
Renforcement et alerte aux problèmes critiques
- Renforcez le site lors de l'exécution d'un logiciel obsolète - Ajoutez automatiquement des protections supplémentaires au site lorsqu'une mise à jour disponible n'a pas été installée depuis un mois. Le plugin iThemes Security activera automatiquement une sécurité plus stricte lorsqu'une mise à jour n'a pas été installée depuis un mois. Premièrement, cela forcera tous les utilisateurs qui n'ont pas activé le double facteur à fournir un code de connexion envoyé à leur adresse e-mail avant de se reconnecter. Deuxièmement, cela désactivera l'éditeur de fichiers WP (pour empêcher les gens d'éditer le plugin ou le code de thème) , les pingbacks XML-RPC et bloquent plusieurs tentatives d'authentification par requête XML-RPC (les deux rendant XML-RPC plus fort contre les attaques sans avoir à le désactiver complètement).
- Rechercher d'autres anciens sites WordPress - Cela vérifiera les autres installations WordPress obsolètes sur votre compte d'hébergement. Un seul site WordPress obsolète avec une vulnérabilité pourrait permettre aux attaquants de compromettre tous les autres sites sur le même compte d'hébergement.
- Envoyer des notifications par e-mail – Pour les problèmes nécessitant une intervention, un e-mail est envoyé aux utilisateurs de niveau administrateur.
Gérer plusieurs sites WP ? Mettre à jour les plugins, les thèmes et WP Core sur plusieurs sites à la fois à partir du tableau de bord de synchronisation iThemes
iThemes Sync est notre tableau de bord central pour vous aider à gérer plusieurs sites WordPress. À partir du tableau de bord Sync, vous pouvez afficher les mises à jour disponibles pour tous vos sites, puis mettre à jour les plugins, les thèmes et le noyau WordPress en un seul clic . Vous pouvez également recevoir des notifications quotidiennes par e-mail lorsqu'une nouvelle mise à jour de version est disponible.
Essayez Sync GRATUITEMENT pendant 30 joursEn savoir plus
Violations du Web
Nous incluons les violations du Web car il est essentiel d'être également conscient des vulnérabilités en dehors de l'écosystème WordPress. Les exploits du logiciel serveur peuvent exposer des données sensibles. Les violations de bases de données peuvent exposer les informations d'identification des utilisateurs de votre site, ouvrant la porte aux attaquants pour accéder à votre site.
1. Zoomer
Zoom a corrigé une faille qui pouvait ouvrir des réunions aux pirates. Chaque réunion Zoom se voit attribuer un identifiant de réunion à 9 à 10 chiffres généré au hasard. Les chercheurs en sécurité de Check Point ont pu deviner correctement certains identifiants de réunions et rejoindre avec succès certains appels Zoom.
Check Point a révélé que la vulnérabilité de Zoom a corrigé la faille en remplaçant la génération aléatoire de numéros d'identification de réunion par un identifiant cryptographiquement fort, a ajouté plus de chiffres aux numéros d'identification de réunion et a fait des exigences de mot de passe l'option par défaut modifiée programmée
Un plugin de sécurité WordPress peut aider à sécuriser votre site Web
iThemes Security Pro, notre plugin de sécurité WordPress, offre plus de 30 façons de sécuriser et de protéger votre site Web contre les vulnérabilités de sécurité WordPress courantes. Avec WordPress, l'authentification à deux facteurs, la protection contre la force brute, l'application stricte des mots de passe et plus encore, vous pouvez ajouter une couche de sécurité supplémentaire à votre site Web.
Obtenez la sécurité iThemes
Chaque semaine, Michael rédige le rapport de vulnérabilité WordPress pour vous aider à protéger vos sites. En tant que chef de produit chez iThemes, il nous aide à continuer à améliorer la gamme de produits iThemes. C'est un nerd géant et il adore apprendre tout ce qui touche à la technologie, ancienne et nouvelle. Vous pouvez trouver Michael traîner avec sa femme et sa fille, lire ou écouter de la musique lorsqu'il ne travaille pas.
