Raccolta delle vulnerabilità di WordPress: maggio 2020, parte 2
Pubblicato: 2020-08-18Nella seconda metà di maggio sono stati divulgati nuovi plugin di WordPress e vulnerabilità dei temi, quindi vogliamo tenerti informato. In questo post, trattiamo i recenti plugin di WordPress, i temi e le vulnerabilità principali e cosa fare se stai eseguendo uno dei plugin o temi vulnerabili sul tuo sito web.
Nella seconda metà di aprile sono stati divulgati nuovi plugin di WordPress e vulnerabilità dei temi, quindi vogliamo tenerti informato. In questo post, trattiamo i recenti plugin di WordPress, i temi e le vulnerabilità principali e cosa fare se stai eseguendo uno dei plugin o temi vulnerabili sul tuo sito web.
Il riepilogo delle vulnerabilità di WordPress è diviso in quattro diverse categorie:
- Nucleo di WordPress
- Plugin WordPress
- Temi WordPress
Ogni vulnerabilità avrà un grado di minaccia basso , medio , alto o critico .
Vulnerabilità principali di WordPress
Non sono state divulgate vulnerabilità di WordPress a maggio 2020.
Vulnerabilità del plugin WordPress
Finora sono state scoperte diverse nuove vulnerabilità dei plugin di WordPress questo mese. Assicurati di seguire l'azione suggerita di seguito per aggiornare il plug-in o disinstallarlo completamente.
1. Kit del sito di Google – Critico
Le versioni di Site Kit di Google precedenti alla 1.8.0 presentano una vulnerabilità di Escalation dei privilegi che consentirà a un utente malintenzionato di diventare proprietario di Search Console.
2. Testimonianze facili – Critiche
Le versioni di Easy Testimonials inferiori alla 3.6 presentano una vulnerabilità di Authenticated Stored Cross-Site Scripting.
3. Recensione del prodotto WP – Alto
Le versioni di WP Product Review inferiori alla 3.7.6 presentano una vulnerabilità di scripting cross-site memorizzato non autenticato.
4. Popup di accesso/iscrizione – Critico
Le versioni del popup di accesso/registrazione inferiori alla 1.5 presentano una vulnerabilità di Authenticated Stored Cross-Site Scripting.
5. Galleria fotografica di 10Web – Critico
Le versioni di Photo Gallery di 10Web precedenti alla 1.5.55 presentano una vulnerabilità SQL Injection non autenticata.
6. Membri del team – Critico
Le versioni dei membri del team inferiori alla 5.0.4 presentano una vulnerabilità Authenticated Stored Cross-Site Scripting.
7. Visual Composer Website Builder – Alto
Le versioni di Visual Composer Website Builder inferiori alla 27.0 presentano più vulnerabilità di Authenticated Cross-Site Scripting.
8. Scorrimento infinito di WordPress – Critico
Le versioni di WordPress Infinite Scroll inferiori alla 5.3.2 presentano una vulnerabilità di Authenticated SQL Injection.
9. Profilo frontend WP – Basso
Le versioni di WP Frontend Profile inferiori alla 1.2.2 presentano una vulnerabilità Cross Site Request Forgery.
10. Abbonamenti a pagamento Pro – Medio
Le versioni Pro degli abbonamenti a pagamento inferiori alla 2.3.3 presentano una vulnerabilità di Authenticated SQL Injection.
11. ThirstyAffiliates Affiliate Link Manager – Medio
Le versioni di ThirstyAffiliates Affiliate Link Manager inferiori alla 3.9.3 presentano una vulnerabilità Authenticated Stored Criss-Site Scripting.
12. Moduli di iscrizione ufficiali MailerLite – Critici
Le versioni dei moduli di iscrizione ufficiali MailerLite inferiori alla 1.4.5 presentano più vulnerabilità CSRF.
13. Modulo di contatto SweetAlert aggiuntivo 7 – Basso
Le versioni dell'add-on SweetAlert Contact Form 7 inferiori alla 1.0.8 presentano una vulnerabilità di Authenticated Stored Cross-Site Scripting.
14. Form Maker di 10Web – Alto
Le versioni di Form Maker di 10Web riportate di seguito presentano la 1.13.36 una vulnerabilità di Authenticated SQL Injection.
Temi WordPress
Non sono state divulgate vulnerabilità del tema WordPress nella seconda metà di maggio.
Come essere proattivi riguardo alle vulnerabilità dei temi e dei plugin di WordPress
L'esecuzione di software obsoleto è il motivo principale per cui i siti WordPress vengono violati. È fondamentale per la sicurezza del tuo sito WordPress che tu abbia una routine di aggiornamento. Dovresti accedere ai tuoi siti almeno una volta alla settimana per eseguire gli aggiornamenti.
Gli aggiornamenti automatici possono aiutare
Gli aggiornamenti automatici sono un'ottima scelta per i siti Web WordPress che non cambiano molto spesso. La mancanza di attenzione spesso lascia questi siti trascurati e vulnerabili agli attacchi. Anche con le impostazioni di sicurezza consigliate, l'esecuzione di software vulnerabile sul tuo sito può fornire a un utente malintenzionato un punto di accesso al tuo sito.
Utilizzando la funzione di gestione della versione del plug-in iThemes Security Pro, puoi abilitare gli aggiornamenti automatici di WordPress per assicurarti di ricevere le ultime patch di sicurezza. Queste impostazioni aiutano a proteggere il tuo sito con opzioni per l'aggiornamento automatico alle nuove versioni o per aumentare la sicurezza dell'utente quando il software del sito non è aggiornato.
Opzioni di aggiornamento per la gestione delle versioni
- Aggiornamenti WordPress: installa automaticamente l'ultima versione di WordPress.
- Aggiornamenti automatici del plug-in: installa automaticamente gli ultimi aggiornamenti del plug-in. Questo dovrebbe essere abilitato a meno che tu non mantenga attivamente questo sito su base giornaliera e installi gli aggiornamenti manualmente poco dopo il loro rilascio.
- Aggiornamenti automatici del tema: installa automaticamente gli ultimi aggiornamenti del tema. Questo dovrebbe essere abilitato a meno che il tuo tema non abbia personalizzazioni di file.
- Controllo granulare sugli aggiornamenti di plug-in e temi : potresti avere plug-in/temi che desideri aggiornare manualmente o ritardare l'aggiornamento fino a quando la versione non ha avuto il tempo di dimostrarsi stabile. Puoi scegliere Personalizzato per l'opportunità di assegnare a ciascun plug-in o tema l'aggiornamento immediato ( Abilita ), non aggiornarlo automaticamente ( Disabilita ) o aggiorna con un ritardo di un determinato numero di giorni ( Ritardo ).
Rafforzamento e allerta per problemi critici
- Rafforza il sito durante l'esecuzione di software obsoleto : aggiungi automaticamente protezioni extra al sito quando un aggiornamento disponibile non è stato installato per un mese. Il plug-in iThemes Security abiliterà automaticamente una sicurezza più rigorosa quando un aggiornamento non è stato installato per un mese. Innanzitutto, costringerà tutti gli utenti che non hanno abilitato il doppio fattore a fornire un codice di accesso inviato al proprio indirizzo e-mail prima di accedere nuovamente. In secondo luogo, disattiverà l'editor di file WP (per impedire alle persone di modificare il plug-in o il codice del tema) , XML-RPC pingback e bloccano più tentativi di autenticazione per richiesta XML-RPC (entrambi renderanno XML-RPC più forte contro gli attacchi senza doverlo disattivare completamente).
- Cerca altri vecchi siti WordPress : questo controllerà la presenza di altre installazioni di WordPress obsolete sul tuo account di hosting. Un singolo sito WordPress obsoleto con una vulnerabilità potrebbe consentire agli aggressori di compromettere tutti gli altri siti sullo stesso account di hosting.
- Invia notifiche e-mail : per problemi che richiedono un intervento, viene inviata un'e-mail agli utenti a livello di amministratore.
Gestire più siti WP? Aggiorna plug-in, temi e core contemporaneamente dalla dashboard di iThemes Sync
iThemes Sync è la nostra dashboard centrale per aiutarti a gestire più siti WordPress. Dalla dashboard di sincronizzazione, puoi visualizzare gli aggiornamenti disponibili per tutti i tuoi siti e quindi aggiornare plug-in, temi e core di WordPress con un clic . Puoi anche ricevere notifiche email giornaliere quando è disponibile un nuovo aggiornamento di versione.
Prova la sincronizzazione gratuita per 30 giorni
Un plugin di sicurezza per WordPress può aiutarti a proteggere il tuo sito web
iThemes Security Pro, il nostro plug-in di sicurezza per WordPress, offre oltre 30 modi per proteggere e proteggere il tuo sito Web dalle vulnerabilità di sicurezza comuni di WordPress. Con WordPress, l'autenticazione a due fattori, la protezione dalla forza bruta, l'imposizione di password complesse e altro ancora, puoi aggiungere un ulteriore livello di sicurezza al tuo sito web.
Ogni settimana, Michael mette insieme il Rapporto sulla vulnerabilità di WordPress per aiutare a mantenere i tuoi siti al sicuro. In qualità di Product Manager di iThemes, ci aiuta a continuare a migliorare la gamma di prodotti iThemes. È un nerd gigante e ama imparare tutto ciò che è tecnologico, vecchio e nuovo. Puoi trovare Michael che esce con sua moglie e sua figlia, leggendo o ascoltando musica quando non lavora.
