Raccolta delle vulnerabilità di WordPress: ottobre 2019, parte 2
Pubblicato: 2019-10-30Durante la seconda metà di ottobre sono stati divulgati diversi nuovi plugin di WordPress e vulnerabilità dei temi, quindi vogliamo tenerti informato. In questo post, trattiamo le vulnerabilità recenti di plugin e temi di WordPress e cosa fare se stai eseguendo uno dei plugin o temi vulnerabili sul tuo sito web.
Dividiamo il riepilogo delle vulnerabilità di WordPress in quattro diverse categorie:
- 1. Nucleo di WordPress
- 2. Plugin di WordPress
- 3. Temi WordPress
- 4. Violazioni da tutto il web
*Includiamo violazioni da tutto il Web perché è essenziale essere consapevoli anche delle vulnerabilità al di fuori dell'ecosistema di WordPress. Gli exploit del software del server possono esporre dati sensibili. Le violazioni del database possono esporre le credenziali degli utenti sul tuo sito, aprendo la porta agli aggressori per accedere al tuo sito.
Nota: puoi passare direttamente al grafico di riepilogo delle vulnerabilità per la seconda parte di ottobre 2019 elencato di seguito.
Vulnerabilità principali di WordPress
Vulnerabilità del plugin WordPress
Diverse nuove vulnerabilità dei plugin di WordPress sono state scoperte questo ottobre. Assicurati di seguire l'azione suggerita di seguito per aggiornare il plug-in o disinstallarlo completamente.
1. Pacchetto SEO tutto in uno
All In One SEO Pack versione 3.2.6 e precedenti è vulnerabile a un attacco Stored Cross-Site Scripting. Un utente malintenzionato dovrà utilizzare un utente autenticato per sfruttare la vulnerabilità. Se l'attaccante ottiene l'accesso a un utente amministratore, potrebbe eseguire il codice PHP e compromettere il server.
Cosa dovresti fare
2. Controllo collegamenti interrotti
Broken Link Checker versione 1.11.8 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting.
Cosa dovresti fare
3. Responsabile eventi
Events Manager versione 5.9.5 e precedenti è vulnerabile a un attacco Stored Cross-Site Scripting.
Cosa dovresti fare
4. Legge europea sui cookie
EU Cookie Law versione 3.0.6 e precedenti è vulnerabile a un attacco Cross-Site Scripting. La vulnerabilità consentirà a un utente malintenzionato di inserire HTML e Javascript arbitrari per modificare le impostazioni del colore del carattere, del colore dello sfondo e del testo "Disabilita cookie" nel plug-in.
Cosa dovresti fare
5. Minimizza velocità veloce
Fast Velocity Minify versione 2.7.6 e precedenti presenta una vulnerabilità che consentirebbe a un utente malintenzionato autenticato di scoprire il percorso root completo dell'installazione di WordPress. Una vulnerabilità del percorso completo di per sé non è critica. Tuttavia, conoscere il percorso di root fornirebbe a un utente malintenzionato le informazioni necessarie per sfruttare altre vulnerabilità più gravi.
Cosa dovresti fare
6. Sintassi Evidenziatore Evoluto
SyntaxHighlighter Evolved versione 3.5.0 e precedenti è vulnerabile a un attacco Cross-Site Scripting.
Cosa dovresti fare
7. Posta HTML WP
WP HTML Mail versione 2.9.0.3 e precedenti è vulnerabile a un attacco HTML Injection.
Cosa dovresti fare
8. Fatture a fette
Le fatture a fette versione 3.8.2 e precedenti presentano più vulnerabilità. Le vulnerabilità includono Authenticated SQL Injection, Authenticated Reflected Cross-Site Scripting, divulgazione di informazioni non autenticate che consente l'accesso alle fatture e mancanza di falsificazioni di richieste tra siti e controlli di autenticazione.
Cosa dovresti fare
9. Zoho CRM Lead Magnet Plugin
Zoho CRM Lead Magnet Plugin versione 1.6.9 è vulnerabile a un attacco Authenticated Cross-Site Scripting. La vulnerabilità consentirebbe a un utente malintenzionato di eseguire codice dannoso nel browser di un utente.
Cosa dovresti fare
10. Informazioni sull'autore
Informazioni su Author versione 1.3.9 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting.
Cosa dovresti fare
11. Modelli di posta elettronica
Email Templates versione 1.3 e precedenti è vulnerabile a un attacco HTML Injection.
Cosa dovresti fare
12. Marmotta
Groundhogg versione 1.3.11.3 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting e SQL Injection.
Cosa dovresti fare
13. Modello di posta elettronica WP
WP Email Template versione 2.2.10 e precedenti è vulnerabile a un attacco HTML Injection.
Cosa dovresti fare
Temi WordPress
14. In Job
InJob versione 3.3.7 e precedenti è vulnerabile a un attacco Cross-Site Scripting.
Cosa dovresti fare
Come essere proattivi riguardo alle vulnerabilità dei temi e dei plugin di WordPress
L'esecuzione di software obsoleto è il motivo principale per cui i siti WordPress vengono violati. È fondamentale per la sicurezza del tuo sito WordPress che tu abbia una routine di aggiornamento. Dovresti accedere ai tuoi siti almeno una volta alla settimana per eseguire gli aggiornamenti.
Gli aggiornamenti automatici possono aiutare
Gli aggiornamenti automatici sono un'ottima scelta per i siti Web WordPress che non cambiano molto spesso. La mancanza di attenzione spesso lascia questi siti trascurati e vulnerabili agli attacchi. Anche con le impostazioni di sicurezza consigliate, l'esecuzione di software vulnerabile sul tuo sito può fornire a un utente malintenzionato un punto di accesso al tuo sito.
Utilizzando la funzione di gestione della versione del plug-in iThemes Security Pro, puoi abilitare gli aggiornamenti automatici di WordPress per assicurarti di ricevere le ultime patch di sicurezza. Queste impostazioni aiutano a proteggere il tuo sito con opzioni per l'aggiornamento automatico alle nuove versioni o per aumentare la sicurezza dell'utente quando il software del sito non è aggiornato.
Opzioni di aggiornamento per la gestione delle versioni
- Aggiornamenti WordPress: installa automaticamente l'ultima versione di WordPress.
- Aggiornamenti automatici del plug-in: installa automaticamente gli ultimi aggiornamenti del plug-in. Questo dovrebbe essere abilitato a meno che tu non mantenga attivamente questo sito su base giornaliera e installi gli aggiornamenti manualmente poco dopo il loro rilascio.
- Aggiornamenti automatici del tema: installa automaticamente gli ultimi aggiornamenti del tema. Questo dovrebbe essere abilitato a meno che il tuo tema non abbia personalizzazioni di file.
- Controllo granulare sugli aggiornamenti di plug-in e temi : potresti avere plug-in/temi che desideri aggiornare manualmente o ritardare l'aggiornamento fino a quando la versione non ha avuto il tempo di dimostrarsi stabile. Puoi scegliere Personalizzato per l'opportunità di assegnare a ciascun plug-in o tema l'aggiornamento immediato ( Abilita ), non aggiornarlo automaticamente ( Disabilita ) o aggiorna con un ritardo di un determinato numero di giorni ( Ritardo ).
Rafforzamento e allerta per problemi critici
- Rafforza il sito durante l'esecuzione di software obsoleto : aggiungi automaticamente protezioni extra al sito quando un aggiornamento disponibile non è stato installato per un mese. Il plug-in iThemes Security abiliterà automaticamente una sicurezza più rigorosa quando un aggiornamento non è stato installato per un mese. Innanzitutto, costringerà tutti gli utenti che non hanno abilitato il doppio fattore a fornire un codice di accesso inviato al proprio indirizzo e-mail prima di accedere nuovamente. In secondo luogo, disattiverà l'editor di file WP (per impedire alle persone di modificare il plug-in o il codice del tema) , XML-RPC pingback e bloccano più tentativi di autenticazione per richiesta XML-RPC (entrambi renderanno XML-RPC più forte contro gli attacchi senza doverlo disattivare completamente).
- Cerca altri vecchi siti WordPress : questo controllerà la presenza di altre installazioni di WordPress obsolete sul tuo account di hosting. Un singolo sito WordPress obsoleto con una vulnerabilità potrebbe consentire agli aggressori di compromettere tutti gli altri siti sullo stesso account di hosting.
- Invia notifiche e-mail : per problemi che richiedono un intervento, viene inviata un'e-mail agli utenti a livello di amministratore.
Violazioni da tutto il Web
1. Vulnerabilità dell'esecuzione di codice remoto PHP sui server NGINX
Se uno dei tuoi siti si trova su un server NGINX con PHP-FPM abilitato, potresti essere vulnerabile a un attacco di esecuzione di codice remoto.
Dovresti contattare immediatamente il tuo host per assicurarti che il tuo server stia eseguendo una di queste versioni con patch di PHP 7.3.11, 7.2.24 o 7.1.33.
Riepilogo delle vulnerabilità di WordPress per
Ottobre 2019, parte 2
All In One SEO Pack versione 3.2.6 e precedenti è vulnerabile a un attacco Stored Cross-Site Scripting.
Broken Link Checker versione 1.11.8 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting.
Events Manager versione 5.9.5 e precedenti è vulnerabile a un attacco Stored Cross-Site Scripting.
EU Cookie Law versione 3.0.6 e precedenti è vulnerabile a un attacco Cross-Site Scripting.
Fast Velocity Minify versione 2.7.6 e precedenti presenta una vulnerabilità che consentirebbe a un utente malintenzionato autenticato di scoprire il percorso root completo dell'installazione di WordPress.
SyntaxHighlighter Evolved versione 3.5.0 e precedenti è vulnerabile a un attacco Cross-Site Scripting.
WP HTML Mail versione 2.9.0.3 e precedenti è vulnerabile a un attacco HTML Injection.
Le fatture a fette versione 3.8.2 e precedenti presentano più vulnerabilità. Le vulnerabilità includono Authenticated SQL Injection, Authenticated Reflected Cross-Site Scripting, divulgazione di informazioni non autenticate che consente l'accesso alle fatture e mancanza di falsificazioni di richieste tra siti e controlli di autenticazione.
Zoho CRM Lead Magnet Plugin versione 1.6.9 è vulnerabile a un attacco Authenticated Cross-Site Scripting.
Informazioni su Author versione 1.3.9 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting.
Email Templates versione 1.3 e precedenti è vulnerabile a un attacco HTML Injection.
Groundhogg versione 1.3.11.3 e precedenti è vulnerabile a un attacco Authenticated Cross-Site Scripting e SQL Injection.
WP Email Template versione 2.2.10 e precedenti è vulnerabile a un attacco HTML Injection.
Un plugin di sicurezza per WordPress può aiutarti a proteggere il tuo sito web e risparmia il 35% di sconto fino al 31 ottobre
iThemes Security Pro, il nostro plug-in di sicurezza per WordPress, offre oltre 30 modi per proteggere e proteggere il tuo sito Web dalle vulnerabilità di sicurezza comuni di WordPress. Con WordPress, l'autenticazione a due fattori, la protezione dalla forza bruta, l'imposizione di password complesse e altro ancora, puoi aggiungere un ulteriore livello di sicurezza al tuo sito web.
Ottieni iThemes Security
Ogni settimana, Michael mette insieme il Rapporto sulla vulnerabilità di WordPress per aiutare a mantenere i tuoi siti al sicuro. In qualità di Product Manager di iThemes, ci aiuta a continuare a migliorare la gamma di prodotti iThemes. È un nerd gigante e ama imparare tutto ciò che è tecnologico, vecchio e nuovo. Puoi trovare Michael che esce con sua moglie e sua figlia, leggendo o ascoltando musica quando non lavora.
