Résumé des vulnérabilités WordPress : mai 2020, partie 2
Publié: 2020-08-18De nouvelles vulnérabilités de plugins et de thèmes WordPress ont été divulguées au cours de la deuxième quinzaine de mai, nous souhaitons donc vous tenir au courant. Dans cet article, nous couvrons les récentes vulnérabilités des plugins WordPress, des thèmes et des cœurs et ce qu'il faut faire si vous exécutez l'un des plugins ou thèmes vulnérables sur votre site Web.
De nouvelles vulnérabilités de plugins et de thèmes WordPress ont été divulguées au cours de la deuxième quinzaine d'avril, nous souhaitons donc vous tenir au courant. Dans cet article, nous couvrons les récentes vulnérabilités des plugins WordPress, des thèmes et des cœurs et ce qu'il faut faire si vous exécutez l'un des plugins ou thèmes vulnérables sur votre site Web.
Le résumé des vulnérabilités WordPress est divisé en quatre catégories différentes :
- Noyau WordPress
- Plugins WordPress
- Thèmes WordPress
Chaque vulnérabilité aura une cote de menace faible , moyenne , élevée ou critique .
Vulnérabilités principales de WordPress
Aucune vulnérabilité WordPress n'a été divulguée en mai 2020.
Vulnérabilités du plugin WordPress
Plusieurs nouvelles vulnérabilités de plugin WordPress ont été découvertes ce mois-ci jusqu'à présent. Assurez-vous de suivre l'action suggérée ci-dessous pour mettre à jour le plugin ou le désinstaller complètement.
1. Kit de site par Google – Critique
Les versions de Site Kit by Google inférieures à 1.8.0 ont une vulnérabilité d'escalade de privilèges qui permettra à un attaquant de devenir propriétaire de la Search Console.
2. Témoignages faciles - Critiques
Les versions d'Easy Testimonials inférieures à 3.6 ont une vulnérabilité Authenticated Stored Cross-Site Scripting.
3. Examen du produit WP – Élevé
Les versions de WP Product Review inférieures à 3.7.6 présentent une vulnérabilité de script intersite stocké non authentifié.
4. Popup de connexion/inscription - Critique
Les versions de Popup de connexion/d'inscription inférieures à 1.5 présentent une vulnérabilité de script intersites stocké authentifié.
5. Galerie de photos par 10Web – Critique
Galerie de photos par les versions 10Web inférieures à 1.5.55 ont une vulnérabilité d'injection SQL non authentifiée.
6. Membres de l'équipe – Critiques
Les versions des membres de l'équipe inférieures à 5.0.4 présentent une vulnérabilité de script intersite stocké authentifié.
7. Visual Composer Website Builder – Élevé
Les versions de Visual Composer Website Builder inférieures à 27.0 présentent plusieurs vulnérabilités de script intersite authentifié.
8. WordPress Infinite Scroll – Critique
Les versions de WordPress Infinite Scroll inférieures à 5.3.2 ont une vulnérabilité d'injection SQL authentifiée.
9. WP Frontend Profile – Faible
Les versions de WP Frontend Profile inférieures à 1.2.2 ont une vulnérabilité Cross Site Request Forgery.
10. Abonnements payants Pro - Moyen
Les versions payantes des abonnements Pro inférieures à 2.3.3 présentent une vulnérabilité d'injection SQL authentifiée.
11. ThirstyAffiliates Gestionnaire de liens d'affiliation - Moyen
Les versions de ThirstyAffiliates Affiliate Link Manager inférieures à 3.9.3 présentent une vulnérabilité de script de crise stocké authentifié.
12. Formulaires d'inscription officiels de MailerLite - Critique
Les versions officielles des formulaires d'inscription MailerLite inférieures à 1.4.5 présentent plusieurs vulnérabilités CSRF.
13. Formulaire de contact complémentaire SweetAlert 7 - Faible
Les versions du module complémentaire SweetAlert Contact Form 7 inférieures à la version 1.0.8 présentent une vulnérabilité de script intersite stocké authentifié.
14. Form Maker par 10Web – Élevé
Les versions de Form Maker by 10Web ci-dessous ont une vulnérabilité 1.13.36 d'injection SQL authentifiée.
Thèmes WordPress
Aucune vulnérabilité du thème WordPress n'a été divulguée au cours de la seconde moitié du mois de mai.
Comment être proactif sur les vulnérabilités des thèmes et plugins WordPress
L'exécution de logiciels obsolètes est la principale raison pour laquelle les sites WordPress sont piratés. Il est crucial pour la sécurité de votre site WordPress que vous ayez une routine de mise à jour. Vous devez vous connecter à vos sites au moins une fois par semaine pour effectuer des mises à jour.
Les mises à jour automatiques peuvent aider
Les mises à jour automatiques sont un excellent choix pour les sites Web WordPress qui ne changent pas très souvent. Le manque d'attention laisse souvent ces sites négligés et vulnérables aux attaques. Même avec les paramètres de sécurité recommandés, l'exécution de logiciels vulnérables sur votre site peut donner à un attaquant un point d'entrée sur votre site.
À l'aide de la fonction de gestion des versions du plug-in iThemes Security Pro, vous pouvez activer les mises à jour automatiques de WordPress pour vous assurer d'obtenir les derniers correctifs de sécurité. Ces paramètres aident à protéger votre site avec des options pour mettre à jour automatiquement vers de nouvelles versions ou pour augmenter la sécurité des utilisateurs lorsque le logiciel du site est obsolète.
Options de mise à jour de la gestion des versions
- Mises à jour WordPress – Installez automatiquement la dernière version de WordPress.
- Mises à jour automatiques des plugins – Installez automatiquement les dernières mises à jour des plugins. Cela devrait être activé, sauf si vous maintenez activement ce site quotidiennement et installez les mises à jour manuellement peu de temps après leur publication.
- Mises à jour automatiques du thème – Installez automatiquement les dernières mises à jour du thème. Cela devrait être activé sauf si votre thème a des personnalisations de fichiers.
- Contrôle granulaire des mises à jour de plugins et de thèmes – Vous pouvez avoir des plugins/thèmes que vous souhaitez soit mettre à jour manuellement, soit retarder la mise à jour jusqu'à ce que la version ait eu le temps de s'avérer stable. Vous pouvez choisir Personnalisé pour avoir la possibilité d'attribuer à chaque plugin ou thème une mise à jour immédiate ( Activer ), ne pas mettre à jour automatiquement ( Désactiver ) ou une mise à jour avec un délai d'un nombre de jours spécifié ( Délai ).
Renforcement et alerte aux problèmes critiques
- Renforcez le site lors de l'exécution d'un logiciel obsolète - Ajoutez automatiquement des protections supplémentaires au site lorsqu'une mise à jour disponible n'a pas été installée depuis un mois. Le plugin iThemes Security activera automatiquement une sécurité plus stricte lorsqu'une mise à jour n'a pas été installée depuis un mois. Premièrement, cela forcera tous les utilisateurs qui n'ont pas activé le double facteur à fournir un code de connexion envoyé à leur adresse e-mail avant de se reconnecter. Deuxièmement, cela désactivera l'éditeur de fichiers WP (pour empêcher les gens d'éditer le plugin ou le code de thème) , les pingbacks XML-RPC et bloquent plusieurs tentatives d'authentification par requête XML-RPC (les deux rendant XML-RPC plus fort contre les attaques sans avoir à le désactiver complètement).
- Rechercher d'autres anciens sites WordPress - Cela vérifiera les autres installations WordPress obsolètes sur votre compte d'hébergement. Un seul site WordPress obsolète avec une vulnérabilité pourrait permettre aux attaquants de compromettre tous les autres sites sur le même compte d'hébergement.
- Envoyer des notifications par e-mail – Pour les problèmes nécessitant une intervention, un e-mail est envoyé aux utilisateurs de niveau administrateur.
Gérer plusieurs sites WP ? Mettre à jour les plugins, les thèmes et le noyau à la fois à partir du tableau de bord de synchronisation iThemes
iThemes Sync est notre tableau de bord central pour vous aider à gérer plusieurs sites WordPress. À partir du tableau de bord Sync, vous pouvez afficher les mises à jour disponibles pour tous vos sites, puis mettre à jour les plugins, les thèmes et le noyau WordPress en un seul clic . Vous pouvez également recevoir des notifications quotidiennes par e-mail lorsqu'une nouvelle mise à jour de version est disponible.
Essayez Sync gratuitement pendant 30 jours
Un plugin de sécurité WordPress peut aider à sécuriser votre site Web
iThemes Security Pro, notre plugin de sécurité WordPress, offre plus de 30 façons de sécuriser et de protéger votre site Web contre les vulnérabilités de sécurité WordPress courantes. Avec WordPress, l'authentification à deux facteurs, la protection contre la force brute, l'application stricte des mots de passe et plus encore, vous pouvez ajouter une couche de sécurité supplémentaire à votre site Web.
Chaque semaine, Michael rédige le rapport de vulnérabilité WordPress pour vous aider à protéger vos sites. En tant que chef de produit chez iThemes, il nous aide à continuer à améliorer la gamme de produits iThemes. C'est un nerd géant et il adore apprendre tout ce qui touche à la technologie, ancienne et nouvelle. Vous pouvez trouver Michael traîner avec sa femme et sa fille, lire ou écouter de la musique lorsqu'il ne travaille pas.
