WordPressの脆弱性のまとめ：2020年10月、パート2

かなりの数の新しいWordPressプラグインの脆弱性が10月の後半に公開されました。 この投稿では、最近のWordPressプラグイン、テーマ、コアの脆弱性と、脆弱なプラグインまたはテーマの1つをWebサイトで実行している場合の対処方法について説明します。

WordPressの脆弱性のまとめは、WordPressコア、WordPressプラグイン、WordPressテーマの3つのカテゴリに分類されます。

WordPressのコアの脆弱性

WordPress 5.5.2は10月29日にリリースされ、10のWordPressコアセキュリティ修正が含まれていました。

これは、WordPress5.5.2リリースの投稿に記載されているセキュリティ修正のリストです。

• 強化された逆シリアル化要求。
• マルチサイトネットワーク上の無効化されたサイトからのスパム埋め込みを無効にするための修正。
• グローバル変数からXSSにつながる可能性のあるセキュリティの問題を修正しました。
• XML-RPCでの特権昇格の問題を修正しました。
• XML-RPCを介した投稿コメントに関する権限昇格に関する問題を修正しました。
• DoS攻撃がRCEにつながる可能性があるセキュリティの問題を修正しました。
• XSSをポストスラッグに保存するメソッドを削除しました。
• 任意のファイル削除につながる可能性のある保護されたメタをバイパスするメソッドを削除しました。
• CSRFにつながる可能性のあるメソッドを削除しました。

WordPressプラグインの脆弱性

1.ライブチャット–ライブサポート

ライブチャット– 3.2.0より前のライブサポートバージョンには、クロスサイトリクエストフォージェリの脆弱性があります。

2.クイックチャット

クイックチャットのすべてのバージョンには、認証されていない保存されたクロスサイトスクリプティングの脆弱性があります。

3.Orbisiusによる子テーマクリエーター

1.5.2より前のバージョンのOrbisiusによるChildTheme Creatorには、任意のファイルの変更/作成に対するCSRFの脆弱性があります。

4.リアリア

Realiaのすべてのバージョンには、認証されていないIDORがあり、任意の削除後の脆弱性が発生します。

5.コメントプレス

コメント2.7.2より前のプレスバージョンには、認証されていないクロスフレームスクリプトの脆弱性があります。

6.WordPress用のスーパーストアファインダー

6.2より前のバージョンのWordPress用のSuperStore Finderには、認証されていない任意のファイルアップロードの脆弱性があります。

7.WordPress用のスーパーインタラクティブマップ

2.0より前のバージョンのWordPress用のスーパーインタラクティブマップには、認証されていない任意のファイルアップロードの脆弱性があります。

8.WordPressのスーパーロゴショーケース

2.3より前のWordPressバージョンのSuperLogos Showcaseには、認証されていない任意のファイルアップロードの脆弱性があります。

9.シンプルなダウンロードモニター

3.8.9より前のSimpleDownload Monitorバージョンには、認証されていないクロスサイトスクリプティングとSQLインジェクションの脆弱性があります。

10.Loginizer

1.6.4より前のLoginizerバージョンには、認証されていないSQLインジェクションの脆弱性があります。

11. HeliosSolutionsブランドロゴスライダー

すべてのバージョンのHeliosSolutions Brand Logo Sliderには、Authenticated Arbitrary FileUploadの脆弱性があります。

12.CMダウンロードマネージャー

2.8.0より前のバージョンのCMDownload Managerには、Authenticated Cross-SiteScriptingの脆弱性があります。

13.事前予約カレンダー

1.6.2より前の高度な予約カレンダーバージョンには、認証されていないSQLインジェクションの脆弱性があります。

WordPressテーマの脆弱性

10月の後半に報告されたWordPressテーマの脆弱性はありません。

10月のセキュリティのヒント：Webサイトのセキュリティアクティビティをログに記録する必要がある理由

セキュリティロギングは、WordPressのセキュリティ戦略の重要な部分である必要があります。 どうして？

その時間の長さにより、攻撃者は他のシステムを侵害したり、より多くのデータを変更、盗んだり、破壊したりすることができます。 このため、「不十分なロギング」は、WebアプリケーションのセキュリティリスクのOWASPトップ10に上陸しました。

WordPressのセキュリティログには、全体的なセキュリティ戦略にいくつかの利点があり、次のことに役立ちます。

1. 悪意のある行動を特定して阻止します。
2. 違反を警告できるアクティビティを見つけます。
3. 与えられたダメージの量を評価します。
4. ハッキングされたサイトの修復を支援します。

サイトがハッキングされた場合は、迅速な調査と復旧に役立つ最善の情報が必要になります。

良いニュースは、iThemes SecurityProがWebサイトのログ記録の実装に役立つことです。 iThemes Security ProのWordPressセキュリティログは、これらすべてのWebサイトアクティビティを追跡します。

• WordPressブルートフォース攻撃
• ファイルの変更
• マルウェアスキャン
• ユーザーアクティビティ

ログの統計は、WordPress管理ダッシュボードから表示できるリアルタイムのWordPressセキュリティダッシュボードに表示されます。

iThemes SecurityProを使用してWordPressセキュリティログをWebサイトに追加するすべての手順を展開するこの機能スポットライト投稿を確認してください。

それがどのように機能するかを見る

WordPressセキュリティプラグインはあなたのウェブサイトを保護するのに役立ちます

WordPressセキュリティプラグインであるiThemesSecurity Proは、一般的なWordPressセキュリティの脆弱性からWebサイトを保護および保護するための50以上の方法を提供します。 WordPress、2要素認証、ブルートフォース保護、強力なパスワードエンフォースメントなどを使用すると、Webサイトにセキュリティの層を追加できます。

iThemes SecurityProを入手する

マイケル・ムーア

Michaelは毎週、WordPressの脆弱性レポートをまとめて、サイトを安全に保つのに役立てています。 iThemesのプロダクトマネージャーとして、彼は私たちがiThemes製品ラインナップを改善し続けるのを手伝ってくれます。 彼は巨大なオタクであり、新旧のすべての技術について学ぶのが大好きです。 マイケルが妻と娘と一緒に遊んだり、仕事をしていないときに音楽を読んだり聞いたりしているのを見つけることができます。