Résumé des vulnérabilités WordPress : septembre 2019, partie 2

7. DÉLUCKS SEO

DELUCKS SEO versions 2.1.7 et inférieures présentent une vulnérabilité de mise à jour d'options non authentifiées.

Ce que tu devrais faire

8. Avis riches

Les versions 1.7.4 et antérieures de Rich Reviews présentent une vulnérabilité de mise à jour des options de plug-in non authentifié.

Ce que tu devrais faire

Thèmes WordPress

9. Selio – Annuaire immobilier

Selio – Real Estate Directory version 1.1 et inférieure présente une vulnérabilité d'injection SQL et de script intersites persistant.

Ce que tu devrais faire

10. Nexos – Immobilier

Nexos – Real Estate version 1.1 et inférieure présente une vulnérabilité d'injection SQL et de script intersites persistant.

Ce que tu devrais faire

Comment être proactif sur les vulnérabilités des thèmes et plugins WordPress

L'exécution de logiciels obsolètes est la principale raison pour laquelle les sites WordPress sont piratés. Il est crucial pour la sécurité de votre site WordPress que vous ayez une routine de mise à jour. Vous devez vous connecter à vos sites au moins une fois par semaine pour effectuer des mises à jour.

Les mises à jour automatiques peuvent aider

Les mises à jour automatiques sont un excellent choix pour les sites Web WordPress qui ne changent pas très souvent. Le manque d'attention laisse souvent ces sites négligés et vulnérables aux attaques. Même avec les paramètres de sécurité recommandés, l'exécution de logiciels vulnérables sur votre site peut donner à un attaquant un point d'entrée sur votre site.

À l'aide de la fonction de gestion des versions du plug-in iThemes Security Pro, vous pouvez activer les mises à jour automatiques de WordPress pour vous assurer d'obtenir les derniers correctifs de sécurité. Ces paramètres aident à protéger votre site avec des options pour mettre à jour automatiquement vers de nouvelles versions ou pour augmenter la sécurité des utilisateurs lorsque le logiciel du site est obsolète.

Options de mise à jour de la gestion des versions

• Mises à jour WordPress – Installez automatiquement la dernière version de WordPress.
• Mises à jour automatiques des plugins – Installez automatiquement les dernières mises à jour des plugins. Cela devrait être activé, sauf si vous maintenez activement ce site quotidiennement et installez les mises à jour manuellement peu de temps après leur publication.
• Mises à jour automatiques du thème – Installez automatiquement les dernières mises à jour du thème. Cela devrait être activé sauf si votre thème a des personnalisations de fichiers.
• Contrôle granulaire des mises à jour de plugins et de thèmes – Vous pouvez avoir des plugins/thèmes que vous souhaitez soit mettre à jour manuellement, soit retarder la mise à jour jusqu'à ce que la version ait eu le temps de s'avérer stable. Vous pouvez choisir Personnalisé pour avoir la possibilité d'attribuer à chaque plugin ou thème une mise à jour immédiate ( Activer ), ne pas mettre à jour automatiquement ( Désactiver ) ou une mise à jour avec un délai d'un nombre de jours spécifié ( Délai ).

Renforcement et alerte aux problèmes critiques

• Renforcez le site lors de l'exécution d'un logiciel obsolète - Ajoutez automatiquement des protections supplémentaires au site lorsqu'une mise à jour disponible n'a pas été installée depuis un mois. Le plugin iThemes Security activera automatiquement une sécurité plus stricte lorsqu'une mise à jour n'a pas été installée depuis un mois. Premièrement, cela forcera tous les utilisateurs qui n'ont pas activé le double facteur à fournir un code de connexion envoyé à leur adresse e-mail avant de se reconnecter. Deuxièmement, cela désactivera l'éditeur de fichiers WP (pour empêcher les gens d'éditer le plugin ou le code de thème) , les pingbacks XML-RPC et bloquent plusieurs tentatives d'authentification par requête XML-RPC (les deux rendant XML-RPC plus fort contre les attaques sans avoir à le désactiver complètement).
• Rechercher d'autres anciens sites WordPress - Cela vérifiera les autres installations WordPress obsolètes sur votre compte d'hébergement. Un seul site WordPress obsolète avec une vulnérabilité pourrait permettre aux attaquants de compromettre tous les autres sites sur le même compte d'hébergement.
• Envoyer des notifications par e-mail – Pour les problèmes nécessitant une intervention, un e-mail est envoyé aux utilisateurs de niveau administrateur.

Violations du Web

1. DoorDash

DoorDash a révélé dans un article de blog que 4,9 millions de données de clients, commerçants et employés ont été compromises lors d'une violation qui a eu lieu le 4 mai 2019.

La violation comprenait des noms, des adresses e-mail, des adresses physiques, des numéros de téléphone et des mots de passe hachés. Heureusement, ils n'ont pas stocké les mots de passe en clair, il sera donc très difficile pour l'attaquant de déchiffrer et d'utiliser les mots de passe.

Les 4 derniers chiffres de certaines cartes de crédit ont été compromis, mais aucun numéro de carte de crédit complet ou numéro CVV n'a été consulté.

Malheureusement, certains des numéros de permis de conduire des employés ont été inclus dans la violation.

Si vous êtes un client DoorDash, vous pouvez le contacter au centre d'appels dédié la configuration de l'assistance au 855-646-4683

2. LastPass

Chrome Project Zero a découvert et divulgué une vulnérabilité dans l'extension LastPass pour Chrome et Opera. La vulnérabilité permettrait à un site Web malveillant de générer une fenêtre contextuelle et de contourner le do_popupregister() pour obtenir les informations d'identification du dernier compte connecté à l'aide de LastPass.

Il n'y a aucune preuve que cette vulnérabilité ait jamais été exploitée à l'état sauvage et LastPass a publié un correctif pour les versions Chrome et Opera de leur extension.

La vulnérabilité met en évidence l'importance d'utiliser l'authentification à deux facteurs et me rend de plus en plus enthousiaste à l'idée de l'avenir sans mot de passe.

Un plugin de sécurité WordPress peut aider à sécuriser votre site Web

iThemes Security Pro, notre plugin de sécurité WordPress, offre plus de 30 façons de sécuriser et de protéger votre site Web contre les vulnérabilités de sécurité WordPress courantes. Avec l'authentification à deux facteurs WordPress, la protection contre la force brute, l'application de mots de passe forts, et plus encore, vous pouvez ajouter une couche de sécurité supplémentaire à votre site Web.

Obtenez la sécurité iThemes