WordPressの脆弱性のまとめ：2020年5月、パート1

公開: 2020-08-18

新しいWordPressプラグインとテーマの脆弱性は、5月の前半に公開されたため、お知らせします。 この投稿では、最近のWordPressプラグイン、テーマ、コアの脆弱性、および脆弱なプラグインまたはテーマの1つをWebサイトで実行している場合の対処方法について説明します。

新しいWordPressプラグインとテーマの脆弱性は、4月の後半に公開されたため、お知らせします。 この投稿では、最近のWordPressプラグイン、テーマ、コアの脆弱性、および脆弱なプラグインまたはテーマの1つをWebサイトで実行している場合の対処方法について説明します。

WordPressの脆弱性のまとめは、次の4つのカテゴリに分類されます。

  1. WordPressコア
  2. WordPressプラグイン
  3. WordPressのテーマ

各脆弱性の脅威評価は、低、中、高、または重大です。

WordPressのコアの脆弱性

2020年5月上半期に公開されたWordPressの脆弱性はありません。

WordPressプラグインの脆弱性

今月、これまでにいくつかの新しいWordPressプラグインの脆弱性が発見されました。 プラグインを更新するか、完全にアンインストールするには、以下の推奨アクションに従ってください。

1. WP-詳細-検索–高

WP-Advanced-3.3.7より前のバージョンの検索には、Authenticated SQLInjectionの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン3.3.7に更新する必要があります。

2. LearnPress –高

3.2.6.9より前のLearnPressバージョンには、複数の重大な脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン3.2.6.9に更新する必要があります。

3. Gmediaフォトギャラリー–中

1.18.5より前のバージョンのGmediaPhoto Galleryには、複数のクロスサイトスクリプティングの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン1.18.5に更新する必要があります。

4.忍者フォーム–高

3.4.24.2より前のNinjaFormsバージョンには、CSRF to StoredXSSの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン3.4.24.2に更新する必要があります。

5. WTI Like Post –低

WTI Like Postのすべてのバージョンには、Authenticated Stored Cross-SiteScriptingの脆弱性があります。

プラグインを削除します。 審査待ちのWordPress.orgでは閉鎖されています。

6. WooCommerceの高度な注文エクスポート–低

3.1.4より前のバージョンのWooCommerceの高度な注文エクスポートには、認証済みクロスサイトスクリプティングの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン3.1.4に更新する必要があります。

7. Elementor –中

2.9.8より前のElementorバージョンには、Authenticated StoredXSSの脆弱性につながるSVGSanitizerBypassがあります。

この脆弱性にはパッチが適用されているため、バージョン2.9.8に更新する必要があります。

8. Elementorの究極のアドオン–高

1.24.2より前のElementorバージョンのUltimateAddonsには、RegistrationBypassの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン2.2.9に更新する必要があります。

9. Elementor Pro –高

2.9.4より前のElementorProバージョンには、Authenticated Arbitrary FileUploadの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン2.9.4に更新する必要があります。

10.チョップスライダー–高

Chopsliderのすべてのバージョンには、認証されていないブラインドSQLインジェクションの脆弱性があります。

利用可能なパッチがないため、プラグインを削除する必要があります。

11. SiteOriginによるページビルダー–高

2.10.16より前のバージョンのSiteOriginによるPageBuilderには、クロスサイトスクリプティングを反映したCSRFの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン2.10.16に更新する必要があります。

12. WooCommerce –低

WooCommerceロゴ

4.1.0より前のバージョンのWooCommerceには、製品の複製時にエスケープされていないメタデータの脆弱性があります。

この脆弱性にはパッチが適用されているため、バージョン4.1.0に更新する必要があります。

WordPressテーマ

1. Avada –高

6.2.3より前のAvadaバージョンには、任意の投稿の作成、エディション、削除、および保存されたXSSの脆弱性につながるアクセス許可チェックの欠落があります。

この脆弱性にはパッチが適用されているため、バージョン6.2.3に更新する必要があります。

WordPressのテーマとプラグインの脆弱性について積極的になる方法

古いソフトウェアを実行することが、WordPressサイトがハッキングされる最大の理由です。 WordPressサイトのセキュリティにとって、更新ルーチンがあることは非常に重要です。 更新を実行するには、少なくとも週に1回はサイトにログインする必要があります。

自動更新が役立ちます

自動更新は、あまり頻繁に変更されないWordPressWebサイトに最適です。 注意が不足していると、これらのサイトは無視され、攻撃に対して脆弱になることがよくあります。 推奨されるセキュリティ設定があっても、サイトで脆弱なソフトウェアを実行すると、攻撃者がサイトへのエントリポイントを与える可能性があります。

iThemes Security Proプラグインのバージョン管理機能を使用すると、WordPressの自動更新を有効にして、最新のセキュリティパッチを確実に入手できます。 これらの設定は、新しいバージョンに自動的に更新したり、サイトのソフトウェアが古くなったときにユーザーのセキュリティを強化したりするオプションでサイトを保護するのに役立ちます。

バージョン管理の更新オプション
  • WordPressアップデート–最新のWordPressリリースを自動的にインストールします。
  • プラグインの自動更新–最新のプラグインの更新を自動的にインストールします。 このサイトを毎日積極的に保守し、更新がリリースされた直後に手動でインストールしない限り、これを有効にする必要があります。
  • テーマの自動更新–最新のテーマの更新を自動的にインストールします。 テーマにファイルのカスタマイズがない限り、これを有効にする必要があります。
  • プラグインとテーマの更新をきめ細かく制御–手動で更新するか、リリースが安定するまで更新を遅らせたいプラグイン/テーマがある場合があります。 各プラグインまたはテーマを割り当てて、すぐに更新する（有効にする）か、まったく自動的に更新しない（無効にする）か、指定した日数の遅延で更新する（遅延）ようにする機会として、カスタムを選択できます。
重大な問題の強化と警告
  • 古いソフトウェアを実行しているときにサイトを強化する–利用可能なアップデートが1か月間インストールされていない場合、サイトに保護を自動的に追加します。 iThemes Securityプラグインは、アップデートが1か月間インストールされていない場合、より厳密なセキュリティを自動的に有効にします。 まず、2要素が有効になっていないすべてのユーザーに、再度ログインする前に自分の電子メールアドレスに送信されたログインコードを提供するように強制します。次に、WPファイルエディターを無効にします（プラグインまたはテーマコードの編集をブロックします）。 、XML-RPC pingback、およびXML-RPC要求ごとの複数の認証試行をブロックします（どちらも、XML-RPCを完全にオフにすることなく、攻撃に対してより強力にします）。
  • 他の古いWordPressサイトをスキャンする–これにより、ホスティングアカウントに他の古いWordPressインストールがないかチェックされます。 脆弱性のある単一の古いWordPressサイトでは、攻撃者が同じホスティングアカウント上の他のすべてのサイトを侵害する可能性があります。
  • 電子メール通知の送信–介入が必要な問題については、管理者レベルのユーザーに電子メールが送信されます。

複数のWPサイトを管理していますか？ iThemes Syncダッシュボードからプラグイン、テーマ、コアを一度に更新

iThemes Syncは、複数のWordPressサイトの管理に役立つ中央ダッシュボードです。 同期ダッシュボードから、すべてのサイトで利用可能な更新を表示し、プラグイン、テーマ、およびWordPressコアをワンクリックで更新できます。 新しいバージョンのアップデートが利用可能になったときに、毎日電子メール通知を受け取ることもできます。

30日間無料で同期をお試しください詳細

WordPressセキュリティプラグインはあなたのウェブサイトを保護するのに役立ちます

WordPressセキュリティプラグインであるiThemesSecurity Proは、一般的なWordPressセキュリティの脆弱性からWebサイトを保護および保護するための30以上の方法を提供します。 WordPress、2要素認証、ブルートフォース保護、強力なパスワードエンフォースメントなどを使用すると、Webサイトにセキュリティの層を追加できます。

WordPressのセキュリティの詳細については、10の重要なヒントをご覧ください。 今すぐ電子ブックをダウンロードする： WordPressセキュリティのガイド
ダウンロード中