Roundup Kerentanan WordPress: September 2019, Bagian 1

Beberapa plugin WordPress baru dan kerentanan tema diungkapkan selama paruh pertama bulan September, jadi kami ingin membuat Anda tetap waspada. Dalam posting ini, kami membahas kerentanan plugin dan tema WordPress terbaru dan apa yang harus dilakukan jika Anda menjalankan salah satu plugin atau tema yang rentan di situs web Anda.

Kami membagi Roundup Kerentanan WordPress menjadi empat kategori berbeda:

• 1. Inti WordPress
• 2. Plugin WordPress
• 3. Tema WordPress
• 4. Pelanggaran Dari Seluruh Web

* Kami menyertakan pelanggaran dari seluruh web karena penting juga untuk menyadari kerentanan di luar ekosistem WordPress. Eksploitasi ke perangkat lunak server dapat mengekspos data sensitif. Pelanggaran basis data dapat mengekspos kredensial untuk pengguna di situs Anda, membuka pintu bagi penyerang untuk mengakses situs Anda.

Kerentanan Inti WordPress

Perbaikan Keamanan di WordPress 5.2.3

• Alat peraga untuk Simon Scannell dari RIPS Technologies untuk menemukan dan mengungkapkan dua masalah. Yang pertama, kerentanan skrip lintas situs (XSS) ditemukan di pratinjau pos oleh kontributor. Yang kedua adalah kerentanan skrip lintas situs dalam komentar yang disimpan.
• Props kepada Tim Coen untuk mengungkapkan masalah di mana validasi dan sanitasi URL dapat menyebabkan pengalihan terbuka.
• Alat peraga untuk Anshul Jain untuk mengungkapkan skrip lintas situs yang direfleksikan selama unggahan media.
• Alat peraga untuk Zhouyuan Yang dari FortiGuard Labs Fortinet yang mengungkapkan kerentanan untuk skrip lintas situs (XSS) dalam pratinjau kode pendek.
• Alat peraga untuk Ian Dunn dari Tim Keamanan Inti untuk menemukan dan mengungkapkan kasus di mana skrip lintas situs yang tercermin dapat ditemukan di dasbor.
• Props ke Soroush Dalili (@irsdl) dari NCC Group untuk mengungkapkan masalah dengan sanitasi URL yang dapat menyebabkan serangan cross-site scripting (XSS).
• Selain perubahan di atas, kami juga memperbarui jQuery pada versi WordPress yang lebih lama. Perubahan ini ditambahkan di 5.2.1 dan sekarang dibawa ke versi yang lebih lama.

Kerentanan Plugin WordPress

Beberapa kerentanan plugin WordPress baru telah ditemukan pada bulan September. Pastikan untuk mengikuti tindakan yang disarankan di bawah ini untuk memperbarui plugin atau mencopot pemasangannya sepenuhnya.

1. Galeri Foto oleh 10Web

Galeri Foto oleh 10Web versi1.5.34 dan di bawah plugin ini rentan terhadap serangan SQL Injection dan Cross-Site Scripting.

Apa yang Harus Anda Lakukan?

2. Manajer Akses Tingkat Lanjut

Advanced Acess Manager versi 5.9.8.1 dan di bawahnya menyertakan kerentanan Akses File dan Unduhan Sewenang-wenang.

Apa yang Harus Anda Lakukan?

3. Tiket Acara

Tiket Acara versi 4.10.7.1 dan di bawahnya rentan terhadap Injeksi CSV.

Apa yang Harus Anda Lakukan?

4. Cari Kecualikan

Cari Kecualikan versi 1.2.2 dan di bawahnya rentan terhadap Perubahan Pengaturan Sewenang-wenang.

Apa yang Harus Anda Lakukan?

5. Pengangkat LMS

LifterLMS versi 3.34.5 dan di bawahnya rentan terhadap kerentanan Impor Opsi Tidak Diautentikasi.

Apa yang Harus Anda Lakukan?

6. Peningkatan Konten

Peningkatan Konten versi 2.0.4 dan di bawahnya rentan terhadap kerentanan Cross-Site Scripting.

Apa yang Harus Anda Lakukan?

7. Kartu Qwiz

Qwizcards versi 3.36 dan di bawahnya rentan terhadap serangan Skrip Lintas Situs Tercermin yang Tidak Diautentikasi.

Apa yang Harus Anda Lakukan?

8. Daftar Periksa

Daftar periksa versi 1.1.5 dan di bawahnya rentan terhadap serangan Skrip Lintas Situs Tercermin yang Tidak Diautentikasi.

Apa yang Harus Anda Lakukan?

9. Pembayaran Musim Semi untuk WooCommerce

Spryng Payments untuk WooCommerce versi 1.6.7 dan di bawahnya rentan terhadap serangan Cross-Site Scripting.

Apa yang Harus Anda Lakukan?

10. Toko Foto Portrait-Archiv.com

Portrait-Archiv.com Photostore versi 5.0.4 dan di bawahnya rentan terhadap serangan Cross-Site Scripting.

Apa yang Harus Anda Lakukan?

11. Logistik ECPay untuk WooCommerce

ECPay Logistics untuk WooCommerce versi 1.2.181030 dan di bawahnya rentan terhadap serangan Cross-Site Scripting.

Apa yang Harus Anda Lakukan?

12. Ellipsis Teknologi Kehadiran Manusia

Ellipsis Human Presence Technology versi 2.0.8 dan di bawahnya rentan terhadap serangan Skrip Lintas Situs Tercermin yang Tidak Diautentikasi.

Apa yang Harus Anda Lakukan?

13. SlickQuiz

SlickQuiz versi 1.6.7 dan di bawahnya rentan terhadap serangan Cross-Site Scripting dan SQL Injection.

Apa yang Harus Anda Lakukan?

Tema WordPress

Bagaimana Menjadi Proaktif Tentang Kerentanan Tema & Plugin WordPress

Menjalankan perangkat lunak usang adalah alasan nomor satu situs WordPress diretas. Sangat penting untuk keamanan situs WordPress Anda bahwa Anda memiliki rutinitas pembaruan. Anda harus masuk ke situs Anda setidaknya sekali seminggu untuk melakukan pembaruan.

Pembaruan Otomatis Dapat Membantu

Pembaruan otomatis adalah pilihan tepat untuk situs web WordPress yang tidak terlalu sering berubah. Kurangnya perhatian sering membuat situs-situs ini terabaikan dan rentan terhadap serangan. Bahkan dengan pengaturan keamanan yang disarankan, menjalankan perangkat lunak yang rentan di situs Anda dapat memberi penyerang titik masuk ke situs Anda.

Menggunakan fitur Manajemen Versi plugin iThemes Security Pro , Anda dapat mengaktifkan pembaruan WordPress otomatis untuk memastikan Anda mendapatkan patch keamanan terbaru. Pengaturan ini membantu melindungi situs Anda dengan opsi untuk secara otomatis memperbarui ke versi baru atau untuk meningkatkan keamanan pengguna saat perangkat lunak situs sudah usang.

Opsi Pembaruan Manajemen Versi

• Pembaruan WordPress – Secara otomatis menginstal rilis WordPress terbaru.
• Pembaruan Otomatis Plugin – Secara otomatis menginstal pembaruan plugin terbaru. Ini harus diaktifkan kecuali Anda secara aktif memelihara situs ini setiap hari dan menginstal pembaruan secara manual segera setelah dirilis.
• Pembaruan Otomatis Tema – Secara otomatis menginstal pembaruan tema terbaru. Ini harus diaktifkan kecuali jika tema Anda memiliki penyesuaian file.
• Kontrol Granular atas Pembaruan Plugin dan Tema – Anda mungkin memiliki plugin/tema yang ingin Anda perbarui secara manual, atau tunda pembaruan hingga rilis memiliki waktu untuk terbukti stabil. Anda dapat memilih Kustom untuk kesempatan menetapkan setiap plugin atau tema untuk segera diperbarui ( Aktifkan ), tidak memperbarui secara otomatis sama sekali ( Nonaktifkan ) atau memperbarui dengan penundaan dalam jumlah hari tertentu ( Tunda ).

Penguatan dan Peringatan untuk Masalah Kritis

• Perkuat Situs Saat Menjalankan Perangkat Lunak Kedaluwarsa – Secara otomatis menambahkan perlindungan ekstra ke situs ketika pembaruan yang tersedia belum diinstal selama sebulan. Plugin Keamanan iThemes akan secara otomatis mengaktifkan keamanan yang lebih ketat ketika pembaruan belum diinstal selama sebulan. Pertama, itu akan memaksa semua pengguna yang tidak mengaktifkan dua faktor untuk memberikan kode login yang dikirim ke alamat email mereka sebelum masuk kembali. Kedua, itu akan menonaktifkan WP File Editor (untuk memblokir orang dari mengedit plugin atau kode tema) , pingback XML-RPC dan memblokir beberapa upaya otentikasi per permintaan XML-RPC (keduanya akan membuat XML-RPC lebih kuat terhadap serangan tanpa harus mematikannya sepenuhnya).
• Pindai Situs WordPress Lama Lainnya – Ini akan memeriksa instalasi WordPress usang lainnya di akun hosting Anda. Satu situs WordPress usang dengan kerentanan dapat memungkinkan penyerang untuk berkompromi dengan semua situs lain di akun hosting yang sama.
• Kirim Pemberitahuan Email – Untuk masalah yang memerlukan intervensi, email dikirim ke pengguna tingkat admin.

Pelanggaran Dari Seluruh Web

1. Akun Twitter Jack Dorsey Diretas

Jack Dorsey, CEO Twitter, adalah korban serangan pertukaran SIM. Pertukaran SIM adalah saat penyerang bekerja dengan penyedia ponsel Anda untuk mem-porting telepon Anda ke telepon lain. Setelah mengambil alih nomor telepon Anda, pelaku kejahatan kemudian dapat menerima kode dua faktor SMS Anda.

Setelah kelompok peretas Chuckling Squad mengambil alih nomor ponsel Dorsey, mereka dapat menggunakan Cloudhopper untuk mengirim tweet. Cloudhopper adalah perusahaan yang sebelumnya diakuisisi oleh Twitter untuk memudahkan orang berkicau melalui pesan teks.

2. Kerentanan phpMyAdmin

PHP versi 4.9.0.1 rentan terhadap serangan Pemalsuan Permintaan Lintas Situs baru, dan ini adalah Zero-day. Kerentanan akan memungkinkan penyerang memicu serangan CSRF terhadap pengguna phpMyAdmin yang menghapus server apa pun di halaman Setup.

Pastikan untuk memperbarui phpMyAdmin setelah patch keamanan dirilis.

Plugin Keamanan WordPress Dapat Membantu Mengamankan Situs Web Anda

iThemes Security Pro, plugin keamanan WordPress kami, menawarkan lebih dari 30 cara untuk mengamankan dan melindungi situs web Anda dari kerentanan keamanan WordPress yang umum. Dengan otentikasi dua faktor WordPress, perlindungan brute force, penegakan kata sandi yang kuat, dan banyak lagi, Anda dapat menambahkan lapisan keamanan ekstra ke situs web Anda.

Dapatkan iThemes Security Pro

Michael Moore

Setiap minggu, Michael menyusun Laporan Kerentanan WordPress untuk membantu menjaga situs Anda tetap aman. Sebagai Manajer Produk di iThemes, dia membantu kami terus meningkatkan jajaran produk iThemes. Dia kutu buku raksasa & suka belajar tentang semua hal teknologi, lama & baru. Anda dapat menemukan Michael bergaul dengan istri & putrinya, membaca atau mendengarkan musik saat tidak bekerja.