Relatório de vulnerabilidade do WordPress: maio de 2021, parte 4
Publicados: 2021-05-27Plug-ins e temas vulneráveis são o principal motivo pelo qual os sites do WordPress são hackeados. O relatório semanal de vulnerabilidade do WordPress desenvolvido por WPScan cobre plug-ins, temas e vulnerabilidades principais do WordPress recentes e o que fazer se você executar um dos plug-ins ou temas vulneráveis em seu site.
Cada vulnerabilidade terá uma classificação de gravidade Baixa , Média , Alta ou Crítica . A divulgação responsável e o relatório de vulnerabilidades são parte integrante de manter a comunidade do WordPress segura. Compartilhe esta postagem com seus amigos para ajudar a divulgar e tornar o WordPress mais seguro para todos.
Vulnerabilidades do núcleo do WordPress
Este mês traz um lançamento de segurança do WordPress 5.7.2 com um problema de segurança afetando as versões do WordPress entre 3.7 e 5.7. Se você ainda não atualizou para 5.7, todas as versões do WordPress desde 3.7 também foram atualizadas para corrigir uma injeção de objeto no problema de segurança do PHPMailer.
1. Versão de segurança do WordPress 5.7.2
Vulnerabilidade : injeção de objeto no PHPMailer
Remendado na versão : 5.7.2
Pontuação de gravidade : média
Vulnerabilidades de plug-ins do WordPress
1. Funnel Builder da CartFlows
Plugin: Funnel Builder da CartFlows
Vulnerabilidade : script entre sites armazenados e autenticados
Remendado na versão : 1.6.13
Gravidade : média
2. Botões de rolagem suave da página para cima / para baixo
Plug-in: botões de rolagem suave para cima / para baixo da página
Vulnerabilidade : script entre sites armazenados e autenticados
Remendado na versão : 1.4
Pontuação de gravidade : média
3. Plugin WordPress de imagens instantâneas
Plug-in: Plug- in para WordPress de imagens instantâneas
Vulnerabilidade : Scripts entre sites armazenados autenticados e XFS
Remendado na versão : 4.4.0.1
Pontuação de gravidade : média
4. Registro CM Pro
Plugin: CM Registration Pro
Vulnerabilidade : injeção de objeto PHP
Remendado na versão : 3.2.1
Pontuação de gravidade : média
5. Oração WP
Plugin: Oração WP
Vulnerabilidade : script entre sites armazenados e autenticados
Remendado na versão : 1.6.2
Pontuação de gravidade : alta
6. Estatísticas WP
Plugin: Estatísticas WP
Vulnerabilidade : injeção de SQL não autenticada
Remendado na versão : 13.0.8
Pontuação de gravidade : alta
7. FlightLog
Plugin: FlightLog
Vulnerabilidade : injeção de SQL autenticada
Remendado na versão : nenhuma correção conhecida
Pontuação de gravidade : alta
8. Incorporação de vídeo
Plugin: FlightLog
Vulnerabilidade : injeção de SQL autenticada
Remendado na versão : nenhuma correção conhecida
Pontuação de gravidade : alta
Vulnerabilidades de tema do WordPress
1. Serviços de conserto de automóveis
Tema: Serviços de conserto de automóveis
Vulnerabilidade : Scripts Cross-Site e XFS refletidos não autenticados
Remendado na versão : 4.0
Pontuação de gravidade : alta
Uma nota sobre divulgação responsável
Você pode estar se perguntando por que uma vulnerabilidade seria divulgada se ela dá aos hackers uma exploração para atacar. Bem, é muito comum para um pesquisador de segurança encontrar e relatar em particular a vulnerabilidade para o desenvolvedor do software.
Com divulgação responsável , o relatório inicial do pesquisador é feito em particular para os desenvolvedores da empresa proprietária do software, mas com um acordo de que todos os detalhes serão publicados assim que um patch for disponibilizado. Para vulnerabilidades de segurança significativas, pode haver um pequeno atraso na divulgação da vulnerabilidade para dar a mais pessoas tempo para corrigir.
O pesquisador de segurança pode fornecer um prazo para que o desenvolvedor de software responda ao relatório ou forneça um patch. Se este prazo não for cumprido, o pesquisador pode divulgar publicamente a vulnerabilidade para pressionar o desenvolvedor a lançar um patch.
Divulgar publicamente uma vulnerabilidade e aparentemente introduzir uma vulnerabilidade Zero-Day - um tipo de vulnerabilidade que não tem patch e está sendo explorado em estado selvagem - pode parecer contraproducente. Mas, é a única alavanca que um pesquisador tem para pressionar o desenvolvedor a corrigir a vulnerabilidade.
Se um hacker descobrisse a vulnerabilidade, ele poderia usar silenciosamente o Exploit e causar danos ao usuário final (este é você), enquanto o desenvolvedor de software continua contente em deixar a vulnerabilidade sem correção. O Projeto Zero do Google tem diretrizes semelhantes no que diz respeito à divulgação de vulnerabilidades. Eles publicam todos os detalhes da vulnerabilidade após 90 dias, independentemente de a vulnerabilidade ter sido corrigida ou não.
Como proteger seu site WordPress contra plug-ins e temas vulneráveis
O Site Scanner do plug-in iThemes Security Pro é uma ótima maneira de proteger e proteger o seu site WordPress da causa nº 1 de todos os hacks de software: plug-ins desatualizados e temas com vulnerabilidades conhecidas.
O Site Scanner verifica se há vulnerabilidades conhecidas em seu site e aplica automaticamente um patch, se houver um disponível.
3 tipos de vulnerabilidades do WordPress verificadas pelo iThemes Security Pro
- Vulnerabilidades do WordPress
- Vulnerabilidades de plug-in
- Vulnerabilidades de tema
Para habilitar a Varredura de Site em novas instalações, navegue até as configurações do iThemes Security Pro e clique no botão Habilitar no módulo de configurações de Varredura de Site .
Para acionar uma verificação manual do site, clique no botão Verificar agora no widget de verificação do site localizado na barra lateral direita das configurações de segurança.
Os resultados da varredura de site serão exibidos no widget.
Se o Site Scan detectar uma vulnerabilidade, clique no link da vulnerabilidade para visualizar a página de detalhes.
Na página de vulnerabilidade do Site Scan, você verá se há uma correção disponível para a vulnerabilidade. Se houver um patch disponível, você pode clicar no botão Atualizar plug-in para aplicar a correção em seu site.
Pode haver um atraso entre o momento em que um patch está disponível e o banco de dados de vulnerabilidades de segurança do iThemes sendo atualizado para refletir a correção. Nesse caso, você pode silenciar a notificação para não receber mais alertas relacionados à vulnerabilidade.
O iThemes Security Pro, nosso plugin de segurança para WordPress, oferece mais de 50 maneiras de proteger e proteger seu site de vulnerabilidades comuns de segurança do WordPress. Com o WordPress, autenticação de dois fatores, proteção de força bruta, aplicação de senha forte e muito mais, você pode adicionar uma camada extra de segurança ao seu site.
Obtenha o iThemes Security Pro
Acompanhe os relatórios de vulnerabilidade do WordPress anteriores de maio de 2021
Perdeu um relatório? Aqui estão os relatórios de maio de 2021.
- Maio de 2021 Parte 3
- Maio de 2021, Parte 2
- Maio de 2021 Parte 1
A cada semana, Michael elabora o Relatório de vulnerabilidade do WordPress para ajudar a manter seus sites seguros. Como Gerente de Produto da iThemes, ele nos ajuda a continuar melhorando a linha de produtos da iThemes. Ele é um nerd gigante e adora aprender sobre todas as coisas de tecnologia, antigas e novas. Você pode encontrar Michael saindo com sua esposa e filha, lendo ou ouvindo música quando não está trabalhando.
