Raport podatności WordPressa: kwiecień 2021, część 2

W drugim tygodniu kwietnia ujawniono nowe luki w zabezpieczeniach wtyczek i motywów WordPress. Ten post dotyczy ostatniej wtyczki WordPress, motywu i podstawowych luk w zabezpieczeniach oraz tego, co zrobić, jeśli uruchomisz jedną z wrażliwych wtyczek lub motywów w swojej witrynie.

Podsumowanie luk w zabezpieczeniach WordPress jest podzielone na trzy różne kategorie: rdzeń WordPress, wtyczki WordPress i motywy WordPress.

Każda podatność będzie miała wskaźnik ważności Niski , Średni , Wysoki lub Krytyczny . Oceny dotkliwości są oparte na systemie punktacji Common Vulnerability Scoring System.

Główne luki w WordPressie

Najnowsza wersja WordPressa to obecnie 5.7. Upewnij się, że na wszystkich Twoich witrynach działa najnowsza wersja rdzenia WordPress.

Luki w zabezpieczeniach wtyczki WordPress

W tej sekcji opisano luki w zabezpieczeniach wtyczek WordPress wraz z instrukcjami dotyczącymi aktualizacji lub usunięcia podatnej wtyczki.

1. iThemes Bezpieczeństwo bez i Pro

Luka w zabezpieczeniach : Ukryj obejście zaplecza
Poprawiona w wersji (zabezpieczenia iThemes) : 7.9.1
Poprawiona w wersji (iThemes Security Pro) : 6.8.4
Ważność : Wysoka – CVSS:3.1AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/

Funkcja Hide Backend w iThemes Security pozwala użytkownikom ukryć stronę logowania, zmieniając jej nazwę i uniemożliwiając dostęp do wp-login.php i wp-admin. Błąd został wykryty w wersjach poniżej 7.9.1 iThemes Security i poniżej 6.8.4 iThemes Security Pro, które sprawiają, że ukryta strona logowania jest wykrywalna, co zmniejsza skuteczność tej funkcji.

Zaktualizuj do wersji 7.9.1 iThemes Security i 6.8.4 iThemes Security Pro, aby otrzymać poprawkę obejściową Hide Backed.

Uwaga: Należy mieć świadomość, że funkcja ukrywania zaplecza nie jest w pełni odporna, bez względu na to, jak bardzo staramy się ją ulepszyć. W rzeczywistości skuteczność ukrywania strony logowania do Twojej witryny ze względów bezpieczeństwa jest naszym mitem nr 1 dotyczącym bezpieczeństwa WordPressa . Czemu? Prawda jest taka, że ​​nie możesz całkowicie ukryć zaplecza swojej witryny. Strona logowania może zostać ujawniona przez rdzeń WordPress, wtyczki lub motywy podczas drukowania linków do strony logowania (takich jak potwierdzenia żądania prywatności lub formularze logowania front-end).

Hide Backend nie powinien być używany jako substytut zaawansowanych środków bezpieczeństwa witryny, takich jak wymuszanie silnych haseł i uwierzytelnianie dwuskładnikowe.

2. Proste członkostwo

Luka w zabezpieczeniach : uwierzytelnione wstrzyknięcia SQL
Łatka w wersji : 4.0.4
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L

Luka została załatana, więc powinieneś zaktualizować ją do wersji 4.0.4.

3. Schowek kreatora stron WPBakery

Luka w zabezpieczeniach : subskrybent + przechowywane skrypty między witrynami
Poprawione w wersji : 4.5.6
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Luka w zabezpieczeniach : aktualizacja nieautoryzowanych arbitralnych opcji licencyjnych
Łatka w wersji : 4.5.8
Ważność : Średnia – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Luka została załatana, więc powinieneś zaktualizować ją do wersji 4.5.8+

4. Ogólny klient OpenID Connect

Luka w zabezpieczeniach : odbite skrypty między witrynami
Łatka w wersji : 3.8.2
Ważność : Średnia – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Luka została załatana, więc powinieneś zaktualizować ją do wersji 3.8.2+.

5. Zatrzymaj spamerów

Luka w zabezpieczeniach : odbite skrypty między witrynami
Poprawione w wersji : 2021.9
Ważność : Średnia – CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2021.9.

6. Obrazy

Luka w zabezpieczeniach : przesyłanie nieuwierzytelnionego arbitralnego pliku do RCE
Poprawiona w wersji : brak znanej poprawki
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

7. Podstawowa wtyczka WorkScout

Luka w zabezpieczeniach : uwierzytelniony przechowywany XSS i XFS
Poprawione w wersji : 1.3.4
Ważność : Wysoka – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Luka została załatana, więc powinieneś zaktualizować ją do wersji 1.3.4+.

8. Kalendarz Larsena

Luka w zabezpieczeniach : przechowywane skrypty między witrynami
Poprawiona w wersji : brak znanej poprawki
Ważność : Wysoka – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

---

9. Tester sprawdzania formularza kontaktowego

Luka w zabezpieczeniach : złamana kontrola dostępu do skryptów między witrynami
Poprawiona w wersji : brak znanej poprawki
Ważność : Wysoka – CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

10. Wtyczka katalogu biznesowego

Luka w zabezpieczeniach : arbitralny eksport aukcji
Łatka w wersji : 5.11.2
Ważność : Wysoka – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Luka w zabezpieczeniach : arbitralna aktualizacja historii płatności
Łatka w wersji : 5.11.2
Ważność : Średnia – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Luka w zabezpieczeniach : uwierzytelnione przechowywane przechowywane skrypty między witrynami
Łatka w wersji : 5.11.2
Ważność : Średnia – CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

Luka została załatana, więc powinieneś zaktualizować ją do wersji 5.11.2+.

11. Baner wydarzenia

Luka w zabezpieczeniach : przesyłanie dowolnego pliku do RCE
Poprawiona w wersji : brak znanej poprawki
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

12. Smakołyki

Luka w zabezpieczeniach : przesyłanie uwierzytelnionego pliku arbitralnego do RCE
Poprawiona w wersji : brak znanej poprawki
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

13. Import wydawcy uczelni

Luka w zabezpieczeniach : przesłanie dowolnego pliku do RCE
Poprawiona w wersji : brak znanej poprawki
Poziom ważności : Krytyczny – CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Ta luka NIE została załatana. Odinstaluj i usuń wtyczkę do czasu wydania poprawki.

Luki w motywie WordPress

Wtyczka bezpieczeństwa WordPress może pomóc w zabezpieczeniu Twojej witryny

iThemes Security Pro, nasza wtyczka bezpieczeństwa WordPress, oferuje ponad 50 sposobów zabezpieczenia i ochrony Twojej witryny przed typowymi lukami w zabezpieczeniach WordPress. Dzięki WordPress, uwierzytelnianiu dwuskładnikowemu, ochronie przed brutalną siłą, silnemu egzekwowaniu haseł i nie tylko, możesz dodać dodatkową warstwę bezpieczeństwa do swojej witryny.

Uzyskaj iThemes Security Pro

Michael Moore

Co tydzień Michael opracowuje raport na temat luk w zabezpieczeniach WordPressa, aby pomóc chronić Twoje witryny. Jako Product Manager w iThemes pomaga nam w dalszym ulepszaniu linii produktów iThemes. Jest wielkim kujonem i uwielbia uczyć się wszystkich rzeczy technicznych, starych i nowych. Możesz znaleźć Michaela spędzającego czas z żoną i córką, czytającego lub słuchającego muzyki, gdy nie pracuje.