Roundup Kerentanan WordPress: Januari 2020, Bagian 1

6. Buku Kota

CityBook versi 2.9.4 dan di bawahnya memiliki beberapa kerentanan termasuk, XSS Tercermin yang Tidak Diautentikasi, XSS Persisten yang Diautentikasi, dan Referensi Objek Langsung Tidak Aman.

Apa yang Harus Anda Lakukan?

Bagaimana Menjadi Proaktif Tentang Kerentanan Tema & Plugin WordPress

Menjalankan perangkat lunak usang adalah alasan nomor satu situs WordPress diretas. Sangat penting untuk keamanan situs WordPress Anda bahwa Anda memiliki rutinitas pembaruan. Anda harus masuk ke situs Anda setidaknya sekali seminggu untuk melakukan pembaruan.

Pembaruan Otomatis Dapat Membantu

Pembaruan otomatis adalah pilihan tepat untuk situs web WordPress yang tidak terlalu sering berubah. Kurangnya perhatian sering membuat situs-situs ini terabaikan dan rentan terhadap serangan. Bahkan dengan pengaturan keamanan yang disarankan, menjalankan perangkat lunak yang rentan di situs Anda dapat memberi penyerang titik masuk ke situs Anda.

Menggunakan fitur Manajemen Versi plugin iThemes Security Pro , Anda dapat mengaktifkan pembaruan WordPress otomatis untuk memastikan Anda mendapatkan patch keamanan terbaru. Pengaturan ini membantu melindungi situs Anda dengan opsi untuk secara otomatis memperbarui ke versi baru atau untuk meningkatkan keamanan pengguna saat perangkat lunak situs sudah usang.

Opsi Pembaruan Manajemen Versi

• Pembaruan WordPress – Secara otomatis menginstal rilis WordPress terbaru.
• Pembaruan Otomatis Plugin – Secara otomatis menginstal pembaruan plugin terbaru. Ini harus diaktifkan kecuali Anda secara aktif memelihara situs ini setiap hari dan menginstal pembaruan secara manual segera setelah dirilis.
• Pembaruan Otomatis Tema – Secara otomatis menginstal pembaruan tema terbaru. Ini harus diaktifkan kecuali jika tema Anda memiliki penyesuaian file.
• Kontrol Granular atas Pembaruan Plugin dan Tema – Anda mungkin memiliki plugin/tema yang ingin Anda perbarui secara manual, atau tunda pembaruan hingga rilis memiliki waktu untuk terbukti stabil. Anda dapat memilih Kustom untuk kesempatan menetapkan setiap plugin atau tema untuk segera diperbarui ( Aktifkan ), tidak memperbarui secara otomatis sama sekali ( Nonaktifkan ) atau memperbarui dengan penundaan dalam jumlah hari tertentu ( Tunda ).

Penguatan dan Peringatan untuk Masalah Kritis

• Perkuat Situs Saat Menjalankan Perangkat Lunak Kedaluwarsa – Secara otomatis menambahkan perlindungan ekstra ke situs ketika pembaruan yang tersedia belum diinstal selama sebulan. Plugin Keamanan iThemes akan secara otomatis mengaktifkan keamanan yang lebih ketat ketika pembaruan belum diinstal selama sebulan. Pertama, itu akan memaksa semua pengguna yang tidak mengaktifkan dua faktor untuk memberikan kode login yang dikirim ke alamat email mereka sebelum masuk kembali. Kedua, itu akan menonaktifkan WP File Editor (untuk memblokir orang dari mengedit plugin atau kode tema) , pingback XML-RPC, dan memblokir beberapa upaya autentikasi per permintaan XML-RPC (keduanya akan membuat XML-RPC lebih kuat terhadap serangan tanpa harus mematikannya sepenuhnya).
• Pindai Situs WordPress Lama Lainnya – Ini akan memeriksa instalasi WordPress usang lainnya di akun hosting Anda. Satu situs WordPress usang dengan kerentanan dapat memungkinkan penyerang untuk berkompromi dengan semua situs lain di akun hosting yang sama.
• Kirim Pemberitahuan Email – Untuk masalah yang memerlukan intervensi, email dikirim ke pengguna tingkat admin.

Mengelola Beberapa Situs WP? Perbarui Plugin, Tema & Inti Sekaligus dari Dasbor Sinkronisasi iThemes

iThemes Sync adalah dasbor pusat kami untuk membantu Anda mengelola beberapa situs WordPress. Dari dasbor Sinkronisasi, Anda dapat melihat pembaruan yang tersedia untuk semua situs Anda, lalu memperbarui plugin, tema, dan inti WordPress dengan satu klik . Anda juga bisa mendapatkan pemberitahuan email setiap hari saat pembaruan versi baru tersedia.

Coba Sinkronkan GRATIS selama 30 hariPelajari lebih lanjut

Pelanggaran Dari Seluruh Web

Kami menyertakan pelanggaran dari seluruh web karena penting juga untuk menyadari kerentanan di luar ekosistem WordPress. Eksploitasi ke perangkat lunak server dapat mengekspos data sensitif. Pelanggaran basis data dapat mengekspos kredensial untuk pengguna di situs Anda, membuka pintu bagi penyerang untuk mengakses situs Anda.

1. NSA Menemukan Kerentanan di Windows 10

NSA menemukan kelemahan perangkat lunak Microsoft yang berbahaya, jadi pastikan Anda memiliki Patch Keamanan Windows terbaru. Kerentanan terkait dengan Windows crypt32.dll, yang menangani sertifikat dan fungsi pesan kriptografi. Jika dieksploitasi, peretas dapat menggunakan kerentanan untuk memalsukan tanda tangan digital.

Ringkasan Kerentanan WordPress untuk Januari 2020, Bagian 1

Jenis

Kerentanan

Memperbaiki

Inti

Tidak ada kerentanan WordPress Core yang diungkapkan pada paruh pertama Januari 2020.

Plugin

Donorbox versi 7.1 dan 7.1.1 rentan terhadap serangan Pemalsuan Permintaan Lintas Situs Tersimpan.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 7.1.2.

Kuis dan Survey Master versi 6.3.4 dan di bawahnya rentan terhadap serangan XSS Tercermin yang Diautentikasi.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 6.3.5.

301 Redirects versi 2.4.0 dan di bawahnya memiliki beberapa kerentanan, termasuk Injeksi dan Modifikasi Pengalihan Sewenang-wenang yang Diautentikasi, XSS, dan CSRF.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.45.

Rencontre versi 3.2.2 dan di bawahnya mencakup beberapa kerentanan Pemalsuan Permintaan Lintas Situs.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 3.2.3.

Gambar Unggulan dari URL versi 2.7.7 dan di bawahnya tidak memiliki Kontrol Akses pada rute REST yang membuat kerentanan Otentikasi Rusak.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.7.8.

Hanya Anggota bbPress versi 1.2.1 dan di bawahnya yang rentan terhadap serangan Pemalsuan Permintaan Lintas Situs di halaman Pengaturan Opsional plugin.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.3.1.

bbPress Login Daftar Tautan Pada Halaman Topik Forum versi 2.7.5 dan di bawahnya menyertakan kerentanan Pemalsuan Permintaan Lintas Situs yang dapat menyebabkan serangan Skrip Lintas Situs Tersimpan.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.8.5.

Kepatuhan Cookie GDPR versi 4.0.2 dan di bawahnya tidak memiliki pemeriksaan kemampuan dan nonce keamanan yang akan memungkinkan pengguna yang diautentikasi untuk menghapus pengaturan plugin.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 4.0.3.

Galeri Foto versi 2.0.6 dan di bawahnya rentan terhadap serangan Penonaktifan Plugin Sewenang-wenang

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.0.7.

Minimal Segera Hadir & Mode Pemeliharaan versi 2.10 dan di bawahnya memiliki banyak kerentanan

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.17.

Pelacakan Konversi WooCommerce versi 2.04 dan di bawahnya rentan terhadap Permintaan Pemalsuan Lintas Situs yang mengarah ke serangan XSS Tersimpan.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.0.5.

Postie versi 1.9.40 dan di bawahnya memiliki kerentanan Post Spoofing dan Stored XSS yang dapat menyebabkan pengguna yang tidak diautentikasi memublikasikan postingan baru. Ini adalah kerentanan zero-day dan siapa pun dapat dengan mudah menemukan petunjuk tentang cara mengeksploitasi plugin Postie.

WordPress.org menutup Postie pada 8 Januari 2019, jadi saya sarankan untuk menghapus plugin dan mencari penggantinya.

Impor Pengguna Dari CSV dengan Meta versi 1.15 memiliki kerentanan Ekspor Pengguna Terotentikasi yang Tidak Sah. Pemeriksaan kemampuan yang hilang akan memungkinkan pengguna yang tidak sah mengekspor pengguna WordPress.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.15.0.1.

FAQ Ultimate versi 1.8.29 dan di bawahnya memiliki kerentanan XSS Tercermin yang Tidak Diautentikasi. Kode pendek FAQ tidak membersihkan parameter GET Display_FAQ, yang dapat menyebabkan serangan Skrip Lintas Situs Tercermin pada halaman tempat kode pendek ditampilkan.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.8.30.

WP Simple Spreadsheet Fetcher Untuk Google versi 0.3.6 dan di bawahnya memiliki kerentanan Permintaan Pemalsuan Lintas Situs yang memungkinkan penyerang untuk menyetel dan mengubah kunci API.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 0.3.7.

Backup dan Staging oleh WP Time Capsule versi 1.21.15 dan di bawahnya memiliki kerentanan Authentication Bypass yang memungkinkan penyerang untuk login sebagai pengguna Admin.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.21.16.

InfiniteWP Client versi 1.9.4.4 dan di bawahnya memiliki kerentanan Authentication Bypass yang memungkinkan penyerang masuk sebagai pengguna Admin.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.9.4.5.

Ultimate Auction versi 4.0.5 dan di bawahnya memiliki beberapa kerentanan Pemalsuan Permintaan Lintas Situs dan Skrip Lintas Situs.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 4.0.6.

WooCommerce – Store Exporter versi 2.3.1 dan di bawahnya rentan terhadap serangan injeksi CSV.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.4.

Dukungan Luar Biasa versi 5.7.1 dan di bawahnya rentan terhadap serangan XSS yang tersimpan.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 5.8.0.

Video di Dasbor Admin versi 1.1.3 dan di bawahnya rentan terhadap serangan XSS Tersimpan yang Diotentikasi.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.1.4.

Toko Reparasi Komputer versi 1.0 rentan terhadap serangan XSS Tersimpan yang Diotentikasi.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.0.

LearnDash versi 3.1.1 dan di bawahnya rentan terhadap serangan Skrip Lintas Situs Tercermin.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 3.1.2.

Tema

ListingPro versi 2.5.3 dan di bawahnya rentan terhadap serangan XSS Tercermin yang Tidak Diautentikasi.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.5.4.

Pemesanan Perjalanan versi 2.7.8.5 dan di bawahnya memiliki kerentanan XSS yang Tercermin & Persisten.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.7.8.6.

ElegantThemes Divi, Divi Builder dan Extra di bawah versi 4.0.10 rentan terhadap serangan Injeksi Kode Terotentikasi.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 4.0.10.

EasyBook versi 1.2.1 dan di bawahnya memiliki beberapa kerentanan termasuk, XSS Tercermin yang Tidak Diautentikasi, XSS Persisten yang Diautentikasi, dan Referensi Objek Langsung yang Tidak Aman.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.2.2.

TownHub versi 1.0.5 dan di bawahnya memiliki beberapa kerentanan termasuk, XSS Tercermin yang Tidak Diautentikasi, XSS Persisten yang Diautentikasi, dan Referensi Objek Langsung yang Tidak Aman.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 1.0.6.

CityBook versi 2.9.4 dan di bawahnya memiliki beberapa kerentanan termasuk, XSS Tercermin yang Tidak Diautentikasi, XSS Persisten yang Diautentikasi, dan Referensi Objek Langsung Tidak Aman.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.9.5.

Real Estate 7 versi 2.3.3 dan di bawahnya memiliki beberapa kerentanan termasuk, XSS Tercermin yang Tidak Diautentikasi, XSS Persisten yang Diautentikasi, dan Referensi Objek Langsung yang Tidak Aman.

Kerentanan telah ditambal, dan Anda harus memperbaruinya ke versi 2.3.4.

Plugin Keamanan WordPress Dapat Membantu Mengamankan Situs Web Anda

iThemes Security Pro, plugin keamanan WordPress kami, menawarkan lebih dari 30 cara untuk mengamankan dan melindungi situs web Anda dari kerentanan keamanan WordPress yang umum. Dengan WordPress, otentikasi dua faktor, perlindungan brute force, penegakan kata sandi yang kuat, dan banyak lagi, Anda dapat menambahkan lapisan keamanan ekstra ke situs web Anda.

Pelajari lebih lanjut tentang keamanan WordPress dengan 10 tips utama. Unduh ebook sekarang: Panduan Keamanan WordPress

Unduh sekarang

Dapatkan Keamanan iThemes

Michael Moore

Setiap minggu, Michael menyusun Laporan Kerentanan WordPress untuk membantu menjaga situs Anda tetap aman. Sebagai Manajer Produk di iThemes, dia membantu kami terus meningkatkan jajaran produk iThemes. Dia kutu buku raksasa & suka belajar tentang semua hal teknologi, lama & baru. Anda dapat menemukan Michael bergaul dengan istri & putrinya, membaca atau mendengarkan musik saat tidak bekerja.