Raport de vulnerabilitate WordPress: mai 2021, partea 2

Publicat: 2021-05-14

Pluginurile și temele vulnerabile sunt motivul # 1 pentru care site-urile WordPress sunt piratate. Raportul săptămânal despre vulnerabilitatea WordPress oferit de WPScan acoperă vulnerabilitățile recente ale plugin-ului, temei și nucleului WordPress și ce trebuie făcut dacă rulați unul dintre pluginurile sau temele vulnerabile de pe site-ul dvs. web.

Fiecare vulnerabilitate include un grad de severitate scăzut , mediu , ridicat sau critic . Divulgarea responsabilă și raportarea vulnerabilităților este o parte integrantă a păstrării în siguranță a comunității WordPress. Vă rugăm să împărtășiți această postare prietenilor dvs. pentru a vă ajuta să scoateți cuvântul și să faceți WordPress mai sigur pentru toată lumea!

În raportul din mai, partea 2

    Vulnerabilități de bază WordPress

    În această lună nu au fost dezvăluite vulnerabilități noi de bază WordPress.

    Vulnerabilități ale pluginului WordPress

    1. Schimbare simplă a limbii administratorului

    Plugin: Schimbare simplă a limbii administratorului
    Vulnerabilitate : schimbare arbitrară la nivel de utilizator
    Patched în versiunea : 2.0.2
    Scorul de severitate : 4,3 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 2.0.2+.

    2. Expediați către Ecourier

    Plugin: Expediere către eCourier
    Vulnerabilitate : Actualizarea setărilor pluginului prin CSRF
    Patched în versiunea : 1.0.2
    Scorul de severitate : 5,4 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.0.2+.

    3. Parcel Tracker eCourier

    Plugin: Parcel Tracker eCourier
    Vulnerabilitate : Actualizarea setărilor pluginului prin CSRF
    Patched în versiunea : 1.0.2
    Scorul de severitate : 5,4 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.0.2+.

    4. PickPlugins Slider produs pentru WooCommerce

    Plugin: Slider-ul produsului PickPlugins pentru WooCommerce
    Vulnerabilitate : Scripturi între site-uri reflectate
    Patched în versiunea : 1.13.22
    Scorul de severitate : 7,1 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.13.22+.

    5. Hana Flv Player

    Plugin: Hana Flv Player
    Vulnerabilitate : Scripturi cross-site stocate autentificate
    Corectat în versiune : Nicio remediere cunoscută
    Scorul de severitate : 3,8 scăzut

    Această vulnerabilitate NU a fost reparată. Dezinstalați și ștergeți pluginul până când se eliberează un patch.

    6. Hotjar Connecticator

    Plugin: Hotjar Connecticator
    Vulnerabilitate : Scripturi cross-site stocate autentificate
    Corectat în versiune : Nicio corecție cunoscută - plugin închis
    Scorul de severitate : 3,8 scăzut

    Această vulnerabilitate NU a fost reparată. Dezinstalați și ștergeți pluginul până când se eliberează un patch.

    7. GA Google Analytics

    Plugin: GA Google Analytics
    Vulnerabilitate : Scripturi cross-site stocate autentificate
    Corectat în versiune : Nicio remediere cunoscută
    Scorul de severitate : 5,9 Mediu

    Această vulnerabilitate NU a fost reparată. Dezinstalați și ștergeți pluginul până când se eliberează un patch.

    8. Vizați primul plugin

    Plugin: Vizați primul plugin
    Vulnerabilitate : Scripturi cross-site stocate neautentificate prin cheie de licență
    Patched în versiunea : 1.0
    Scorul de severitate : 7,2 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.0+.

    9. Leads-5050 Insights Visitor

    Plugin: Statistici pentru vizitatori Leads-5050
    Vulnerabilitate : modificare neautorizată a licenței
    Patched în versiunea : 1.1.0
    Scorul de severitate : 7,1 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.1.0+.

    10. DSGVO All in one pentru WP

    Plugin: DSGVO All in one pentru WP
    Vulnerabilitate : Scripturi cross-site stocate neautentificate
    Patched în versiunea : 4.0
    Scorul de severitate : 8,3 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 4.0+.

    11. UltimateWoo

    Plugin: UltimateWoo
    Vulnerabilitate : injectare obiect PHP
    Corectat în versiune : Nicio corecție cunoscută - plugin închis
    Scorul de severitate : 5,6 Mediu

    Această vulnerabilitate NU a fost reparată. Dezinstalați și ștergeți pluginul până când se eliberează un patch.

    12. Membru final

    Plugin: Ultimate Member
    Vulnerabilitate : scripturi cross-site reflectate autentificate
    Patched în versiunea : 2.1.20
    Scorul de severitate : 4,4 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 2.1.20+.

    13. Optimizare automată

    Plugin: Optimizare automată
    Vulnerabilitate : Scripturi cross-site stocate autentificate
    Patched în versiunea : 2.8.4
    Scorul de severitate : 6,6 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 2.8.4+.

    14. Zlick Paywall

    Plugin: Zlick Paywall
    Vulnerabilitate : ocoliri CSRF
    Patched în versiunea : 2.2.2
    Scorul de severitate : 3,1 scăzut

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 2.2.2+.

    15. ThemeHigh WooCommerce Wishlist și comparație

    Plugin: ThemeHigh WooCommerce Wishlist și comparație
    Vulnerabilitate : apel AJAX neautorizat
    Patched în versiunea : 1.0.5
    Scorul de severitate : 7,2 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 1.0.5+.

    16. Cadouri simple

    Plugin: cadouri simple
    Vulnerabilitate : Scripturi încrucișate reflectate neautentificate
    Patched în versiunea : 2.36.2
    Scorul de severitate : 7,1 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 2.36.2+.

    17. Rezervări la restaurantul ReDi

    Plugin: Rezervări de restaurante ReDi
    Vulnerabilitate : Scripturi cross-site stocate neautentificate
    Patched în versiunea : 21.0426
    Scorul de severitate : 7,1 ridicat

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 21.0426+.

    18. Pachet SEO All in One

    Plugin: pachet SEO All in One
    Vulnerabilitate : Executarea codului la distanță
    Patched în versiunea : 4.1.0.2
    Scorul de severitate : 6,6 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 4.1.0.2+.

    19. LifterLMS

    Plugin: LifterLMS
    Vulnerabilitate : Scripturi cross-site stocate autentificate în Editare profil
    Patched în versiunea : 4.21.1
    Scorul de severitate : 7,4 ridicat

    Vulnerabilitate : Scripturi încrucișate reflectate prin intermediul codului cuponului la checkout
    Patched în versiunea : 4.21.1
    SeverityScore : 6.1 Mediu

    Vulnerabilitatea este reparată, deci ar trebui să actualizați la versiunea 4.21.1+.

    Vulnerabilități ale temei WordPress

    Nu au fost dezvăluite vulnerabilități noi în această lună.

    O notă privind dezvăluirea responsabilă

    S-ar putea să vă întrebați de ce o vulnerabilitate ar fi dezvăluită dacă le oferă hackerilor un exploit de atac. Ei bine, este foarte obișnuit ca un cercetător în securitate să găsească și să raporteze în mod privat vulnerabilitatea dezvoltatorului de software înainte ca acesta să devină public.

    Cu dezvăluirea responsabilă , raportul inițial al cercetătorului este făcut în mod privat dezvoltatorilor companiei care deține software-ul, dar cu acordul că detaliile complete vor fi publicate odată ce un patch a fost pus la dispoziție. Pentru vulnerabilitățile semnificative de securitate, ar putea exista o ușoară întârziere în dezvăluirea vulnerabilității, pentru a oferi mai multor oameni timp de corecție.

    Cercetătorul de securitate poate oferi un termen limită pentru ca dezvoltatorul de software să răspundă la raport sau să furnizeze un patch. Dacă acest termen nu este respectat, atunci cercetătorul poate dezvălui în mod public vulnerabilitatea de a pune presiune pe dezvoltator să emită un patch.

    Dezvăluirea publică a unei vulnerabilități și introducerea aparentă a unei vulnerabilități Zero-Day - un tip de vulnerabilitate care nu are patch și care este exploatată în sălbăticie - poate părea contraproductivă. Dar, este singura pârghie pe care o are un cercetător pentru a-l presiona pe dezvoltator să remedieze vulnerabilitatea.

    Dacă un hacker ar descoperi vulnerabilitatea, ar putea folosi în liniște Exploit-ul și ar putea provoca daune utilizatorului final (acesta ești tu), în timp ce dezvoltatorul de software rămâne conținut la lăsarea vulnerabilității fără corecții. Project Zero de la Google are îndrumări similare atunci când vine vorba de dezvăluirea vulnerabilităților. Ei publică detaliile complete ale vulnerabilității după 90 de zile, indiferent dacă vulnerabilitatea a fost sau nu reparată.

    Cum să vă protejați site-ul WordPress de pluginuri și teme vulnerabile

    Există trei modalități excelente de a vă proteja automat site-urile web de teme și pluginuri vulnerabile:

    1. Activarea actualizărilor automate pentru pluginuri și teme
    2. Scanerul site-ului pluginului iThemes Security Pro
    3. Managementul versiunilor în iThemes Security

    1. Activați actualizările automate pentru pluginuri și teme

    Începând cu WordPress 5.5, puteți activa actualizările automate pentru pluginuri și teme. De ce ar fi rulate actualizările automate în nucleul WordPress? Pluginurile și temele învechite sunt încă motivul # 1 pentru care site-urile WordPress sunt piratate. Versiunile de versiuni includ adesea patch-uri de securitate importante pentru a închide vulnerabilitățile (trebuie doar să verificați câte probleme de securitate cu teme și pluginuri sunt dezvăluite de la lună la lună în rezumatul nostru de vulnerabilități WordPress). De aceea, rularea întotdeauna a celei mai recente versiuni a oricărui plugin sau temă pe care ați instalat-o pe site-ul dvs. este o bună practică de securitate.

    Acum, nucleul WordPress vă va permite să setați pluginuri și teme pentru actualizarea automată de la administratorul dvs. WordPress> Pluginuri> Pluginuri instalate și aspect> pagini Teme. În acest fel, puteți ști oricând că site-ul dvs. rulează cel mai recent cod disponibil.

    2. Activați Scannerul site-ului pluginului iThemes Security Pro

    Site Scanner-ul pluginului iThemes Security Pro este un alt mod de a vă securiza și proteja site-ul WordPress de prima cauză a tuturor hacks-urilor software: pluginuri învechite și teme cu vulnerabilități cunoscute. Site Scanner verifică site-ul dvs. pentru vulnerabilități cunoscute și aplică automat un patch dacă este disponibil.

    Cele 3 tipuri de vulnerabilități WordPress verificate de scanerul de site iThemes Security Pro:

    1. Vulnerabilități de bază WordPress
    2. Vulnerabilități ale pluginului
    3. Vulnerabilități tematice

    Pentru a activa scanarea site-ului pe site-ul dvs., navigați la setările iThemes Security Pro și faceți clic pe butonul Activare din modulul Setări scanare site .

    Pentru a declanșa o scanare manuală a site-ului, faceți clic pe butonul Scanare acum de pe widgetul de scanare a site - ului situat în bara laterală dreaptă a setărilor de securitate.

    Rezultatele scanării site-ului vor fi afișate în widget.

    Dacă Scanarea site-ului detectează o vulnerabilitate, faceți clic pe linkul de vulnerabilitate pentru a vizualiza pagina de detalii.

    În pagina vulnerabilității Site Scan, veți vedea dacă există o remediere disponibilă pentru vulnerabilitate. Dacă există un patch disponibil, puteți face clic pe butonul Actualizare plugin pentru a aplica remedierea pe site-ul dvs. web.

    Poate exista o întârziere între momentul în care un patch este disponibil și Baza de date iThemes Security Vulnerability este actualizată pentru a reflecta remedierea. În acest caz, puteți dezactiva notificarea pentru a nu mai primi alerte legate de vulnerabilitate.

    Important: nu trebuie să dezactivați o notificare de vulnerabilitate până când nu ați confirmat că versiunea actuală include o remediere de securitate sau dacă vulnerabilitatea nu vă afectează site-ul.

    3. Activați gestionarea versiunilor în iThemes Security Pro

    Funcția de gestionare a versiunilor iThemes Security Pro vă permite să aveți un pic mai mult control asupra actualizărilor automate pentru WordPress, pluginuri și teme.

    Iată cele trei moduri în care Managementul versiunilor iThemes Security Pro oferă mai multă flexibilitate în comparație cu actualizările automate WordPress implicite.

    1. Gestionarea simplificată a pluginurilor și temelor - gestionați toate actualizările de pluginuri și teme din setările de gestionare a versiunilor.
    2. Adăugați perioade de întârziere personalizate pentru actualizări de pluginuri și teme - Actualizările automate WordPress oferă opțiunea de a aplica actualizări imediat. Planificatorul de actualizări vă permite să creați o întârziere personalizată. Întârzierea poate fi o opțiune bună pentru pluginuri sau teme care tind să aibă nevoie de câteva versiuni de urmărire pentru a remedia problemele după o lansare majoră.
    3. Aplicați doar actualizări care remediază vulnerabilitățile cunoscute - aplicați doar actualizări care remediază vulnerabilitățile cunoscute. Această opțiune este perfectă dacă doriți să rulați manual toate actualizările dvs., dar doriți să primiți imediat patch-uri de securitate.

    Dincolo de asta, Managementul versiunilor are, de asemenea, opțiuni pentru a vă întări site-ul atunci când rulați software învechit și pentru a scana site-uri vechi.

    Pentru a începe să utilizați gestionarea versiunilor, activați modulul în pagina principală a setărilor de securitate.

    Acum faceți clic pe butonul Configurare setări pentru a arunca o privire mai atentă asupra setărilor.

    • Actualizări WordPress - Instalați automat cea mai recentă versiune WordPress.
    • Actualizări de pluginuri - Instalați automat cele mai recente actualizări de pluginuri. Activarea acestei setări va dezactiva caracteristica pluginurilor de actualizare automată WordPress pentru a preveni conflictele.
    • Actualizări teme - Instalați automat cele mai recente actualizări tematice. Activarea acestei setări va dezactiva caracteristica temei de actualizare automată WordPress pentru a preveni conflictele.
    • Consolidați site-ul atunci când rulați software depășit - Adăugați automat protecții suplimentare site-ului atunci când nu a fost instalată o actualizare disponibilă de o lună.
      • Forțați toți utilizatorii care nu au doi factori activi să furnizeze un cod de autentificare trimis la adresa lor de e-mail înainte de a vă conecta din nou.
      • Dezactivați Editorul de fișiere WP (care blochează oamenii să editeze pluginul sau codul temei).
      • Dezactivați pingback-urile XML-RPC și blocați mai multe încercări de autentificare pentru fiecare solicitare XML-RPC (ambele vor face XML-RPC mai puternic împotriva atacurilor fără a fi nevoie să îl opriți complet).
    • Scanare pentru site-uri WordPress vechi - Rulați o scanare zilnică a contului de găzduire pentru site-uri WordPress vechi care ar putea permite unui atacator să compromită serverul. Un singur site WordPress învechit cu o vulnerabilitate ar putea permite atacatorilor să compromită toate celelalte site-uri de pe același cont de găzduire.
    • Actualizare automată dacă remediază vulnerabilitatea - Această opțiune funcționează în tandem cu scanarea site-ului iThemes Security Pro pentru a verifica site-ul web pentru a cunoaște vulnerabilitățile WordPress, plugin și temă cunoscute și pentru a aplica un patch atunci când este disponibil.

    Acum să aruncăm o privire mai atentă la configurarea actualizărilor de pluginuri și teme. Înainte de a începe, am vrut să vă reamintesc că activarea setărilor de actualizare a pluginului și a temei va dezactiva caracteristica de actualizare automată WordPress pentru a preveni conflictele.

    Atât setările de actualizare a pluginului, cât și cele de temă au trei opțiuni.

    1. Blank / None - Lăsați setarea necompletată va permite WordPress să gestioneze actualizările pluginului și temei.
    2. Personalizat - Opțiunea Personalizată vă permite să personalizați actualizările cu precizie pe placul dvs. Vom acoperi acest aspect mai mult în doar un pic.
    3. Toate - Toate vă vor actualiza toate pluginurile sau temele de îndată ce este disponibilă o actualizare.

    Acum să aruncăm o privire mai atentă asupra opțiunii Personalizate .

    Selectarea opțiunii Personalizate oferă trei opțiuni diferite pentru actualizările de pluginuri și teme.

    1. Activare - Alegeți ce pluginuri doriți să actualizați imediat după o nouă versiune.
    2. Dezactivare - Utilizați această opțiune pentru pluginurile pe care doriți să le actualizați manual.
    3. Întârziere - Opțiunea de întârziere vă permite să setați numărul de zile în care doriți să întârziați o actualizare a unei versiuni. Aceasta poate fi o opțiune bună pentru dezvoltatorii care tind să aibă nevoie de versiuni ulterioare pentru a remedia problemele după o lansare majoră.

    Obțineți iThemes Security Pro astăzi

    iThemes Security Pro, pluginul nostru de securitate WordPress, oferă peste 50 de moduri de a vă securiza și proteja site-ul împotriva vulnerabilităților comune de securitate WordPress. Cu WordPress, autentificarea în doi factori, protecția forței brute, aplicarea puternică a parolei și multe altele, puteți adăuga un strat suplimentar de securitate site-ului dvs. web.

    Obțineți iThemes Security Pro