Raportul Vulnerabilității WordPress: octombrie 2021, partea 1
Publicat: 2021-10-06Pluginurile și temele vulnerabile sunt motivul # 1 pentru care site-urile WordPress sunt piratate. Raportul săptămânal despre vulnerabilitatea WordPress oferit de WPScan acoperă vulnerabilitățile recente ale plugin-ului, temei și nucleului WordPress și ce trebuie făcut dacă rulați unul dintre pluginurile sau temele vulnerabile de pe site-ul dvs. web.
Fiecare vulnerabilitate va avea un grad de severitate scăzut , mediu , ridicat sau critic . Divulgarea responsabilă și raportarea vulnerabilităților este o parte integrantă a păstrării în siguranță a comunității WordPress.
Vă rugăm să împărtășiți această postare prietenilor dvs. pentru a vă ajuta să scoateți cuvântul și să faceți WordPress mai sigur pentru toată lumea.
Vulnerabilități de bază WordPress
Cea mai recentă versiune a WordPress core 5.8.1 a fost lansată ca versiune de securitate și întreținere. Ca cea mai bună practică, asigurați-vă întotdeauna că rulați cea mai recentă versiune a nucleului WordPress!
Vulnerabilități ale pluginului WordPress
În această secțiune, au fost dezvăluite cele mai recente vulnerabilități ale pluginului WordPress. Fiecare listă de pluginuri include tipul de vulnerabilitate, numărul versiunii dacă este corecționat și gradul de severitate.
1. Instrumente WP DSGVO
Plugin: Instrumente WP DSGVO
Vulnerabilitate : Actualizarea setărilor pluginului neautentificat la scripturi stocate pe mai multe site-uri
Patched în versiunea : 3.1.24 - plugin închis
Scorul de severitate : ridicat
2. Citate minunate
Plugin: Citate minunate
Vulnerabilitate : Administrare + Stocare între site-uri
Corectat în versiune : Nicio corecție cunoscută - plugin închis
Scorul de severitate : scăzut
3. Depanare WP
Plugin: Depanare WP
Vulnerabilitate : Actualizarea setărilor pluginului neautentificat
Patched în versiunea : 2.11.0
Scorul de severitate : mediu
4. Verificați și înregistrați e-mailul
Plugin: Verificați și înregistrați e-mailul
Vulnerabilitate : injecții Admin + SQL
Patched în versiunea : 1.0.3
Scorul de severitate : mediu
5. Permalink Manager Lite
Plugin: Permalink Manager Lite
Vulnerabilitate : Administrare + Injecție SQL
Patched în versiunea : 2.2.13.1
Scorul de severitate : mediu
6. WooCommerce Product Table Lite
Plugin: WooCommerce Product Table Lite
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 2.4.0
Scorul de severitate : mediu
7. WP Table Builder
Plugin: WP Table Builder
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 1.3.10
Scorul de severitate : ridicat
8. Visual Form Builder
Plugin: Visual Form Builder
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 3.0.4
Scorul de severitate : scăzut
9. NinjaForms
Plugin: NinjaForms
Vulnerabilitate: Administrare + Stocare între site-uri
Patched în versiunea : 3.5.8.2
Scorul de severitate : scăzut
10. Wappointment
Plugin: Wappointment
Vulnerabilitate : Scripturi cross-site stocate neautentificate
Patched în versiunea : 2.2.5
Scorul de severitate : ridicat
11. Numărătoare inversă și CountUp, cronometre de vânzări WooCommerce
Plugin: Countdown și CountUp, temporizatoare de vânzări WooCommerce
Vulnerabilitate : CSRF către scripturi cross-site stocate
Patched în versiunea : 1.5.8
Scorul de severitate : ridicat
11. uListare
Plugin: uListing
Vulnerabilitate : Actualizare setări prin CSRF
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
Plugin: uListing
Vulnerabilitate : injecție SQL neautentificată
Patched în versiunea : 2.0.4
Scorul de severitate : ridicat
Plugin: uListing
Vulnerabilitate : escalada neautentificată a privilegiilor
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
Plugin: uListing
Vulnerabilitate : Modificați rolurile utilizatorilor prin CSRF
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
Plugin: uListing
Vulnerabilitate : CSRF multiplu
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
Plugin: uListing
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
Plugin: uListing
Vulnerabilitate : IDOR autentificat
Patched în versiunea : 2.0.6
Scorul de severitate : mediu
12. Modul de întreținere YITH
Plugin: YITH Maintenance Mode
Vulnerabilitate : Administrator multiplu + Scripturi între site-uri stocate
Patched în versiunea : 1.4.0
Scorul de severitate : scăzut
Plugin: YITH Maintenance Mode
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 1.3.8
Scorul de severitate : scăzut
13. Formulare de contact WordPress de Cimatti
Plugin: Formulare de contact WordPress de Cimatti
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 1.4.12
Scorul de severitate : scăzut
14. Etichete OG
Plugin: etichete OG
Vulnerabilitate : Actualizarea setărilor pluginului prin CSRF
Patched în versiunea : 2.0.2
Scorul de severitate : mediu
15. Director de afaceri Conexiuni
Plugin: Director de afaceri Conexiuni
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 10.4.3
Scorul de severitate : scăzut
16. Preloader plat
Plugin: Preloader plat
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 1.5.5
Scorul de severitate : mediu
Plugin: Preloader plat
Vulnerabilitate : CSRF către scripturi cross-site stocate
Patched în versiunea : 1.54
Scorul de severitate : ridicat
17. Cool Cloud Tag
Plugin: Cloud de etichete minunat
Vulnerabilitate : Contribuitor + Scripturi între site-uri stocate
Patched în versiunea : 2.26
Scorul de severitate : mediu
18. subConstrucție
Plugin: underConstruction
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 1.19
Scorul de severitate : ridicat
19. Meniu restaurant de la MotoPress
Plugin: Meniu restaurant de MotoPress
Vulnerabilitate : Scripturi autentificate stocate pe site-uri încrucișate
Corectat în versiune : Nicio corecție cunoscută - plugin închis
Scorul de severitate : scăzut
20. AutomatorWP
Plugin: AutomatorWP
Vulnerabilitate : lipsă de autorizare și escaladare de privilegii
Patched în versiunea : 1.7.6
Scorul de severitate : mediu
21. WP Reactions Lite
Plugin: WP Reactions Lite
Vulnerabilitate : Scripturi autentificate stocate pe site-uri încrucișate
Patched în versiunea : 1.3.6
Scorul de severitate : scăzut
22. Listă elegantă de prețuri
Plugin: Listă elegantă de prețuri
Vulnerabilitate : Abonat + Încărcare de imagine arbitrară
Patched în versiunea : 6.9.1
Scorul de severitate : mediu
Plugin: Listă elegantă de prețuri
Vulnerabilitate : Încărcare de imagini arbitrare neautentificată
Patched în versiunea : 6.9.0
Scorul de severitate : mediu
23 Icoane sociale ușoare
Plugin: Icoane sociale ușoare
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 3.0.9
Scorul de severitate : ridicat
Plugin: Icoane sociale ușoare
Vulnerabilitate : Scripturi între site-uri reflectate
Patched în versiunea : 3.1.3
Scorul de severitate : ridicat
24. WPeMatico RSS Feed Fetcher
Plugin: WPeMatico RSS Feed Fetcher
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 2.6.12
Scorul de severitate : scăzut
25. WordPress Download Manager
Plugin: WordPress Download Manager
Vulnerabilitate : Administrare + Stocare între site-uri
Patched în versiunea : 3.2.16
Scorul de severitate : scăzut
26. Calendarul evenimentelor moderne Lite
Plugin: Calendar de evenimente moderne Lite
Vulnerabilitate : Scripturi autentificate stocate pe site-uri încrucișate
Patched în versiunea : 5.22.3
Scorul de severitate : scăzut
27. Credova_Financial
Plugin: Credova_Financial
Vulnerabilitate : dezvăluirea informațiilor sensibile
Patched în versiunea : 1.4.9
Scorul de severitate : mediu
28. JS Job Manager
Plugin: JS Job Manager
Vulnerabilitate : instalarea / activarea pluginului arbitrar neautentificat
Corectat în versiune : Nicio corecție cunoscută - plugin închis
Scorul de severitate : critic
29. Evenimente ușoare
Plugin: Evenimente ușoare
Vulnerabilitate : CSRF multiplu către scripturi cross-site stocate și ștergere de evenimente
Patched în versiunea : 1.5.50
Scorul de severitate : ridicat
30. Stripe Pentru WooCommerce
Plugin: Stripe pentru WooCommerce
Vulnerabilitate : lipsesc controalele de autorizare la deturnarea contului financiar
Patched în versiunea : 3.3.10
Scorul de severitate : mediu
Cum să vă protejați site-ul WordPress de pluginuri și teme vulnerabile
După cum puteți vedea din acest raport, o mulțime de noi vulnerabilități ale plugin-ului și temei WordPress sunt dezvăluite în fiecare săptămână. Știm că poate fi dificil să rămâneți la curent cu fiecare dezvăluire a vulnerabilității raportate, astfel încât pluginul iThemes Security Pro face ușor să vă asigurați că site-ul dvs. nu rulează o temă, un plugin sau o versiune de bază WordPress cu o vulnerabilitate cunoscută.
1. Porniți iThemes Security Pro Site Scanner
Site Scanner-ul pluginului iThemes Security Pro scanează motivul # 1 pentru care site-urile WordPress sunt piratate: pluginuri și teme învechite cu vulnerabilități cunoscute. Site Scanner verifică site-ul dvs. pentru vulnerabilități cunoscute și aplică automat un patch dacă este disponibil.
Pentru a activa scanarea site-ului la noile instalări, navigați la fila Verificare site din meniul Caracteristici din plugin și faceți clic pe comutare pentru a activa scanarea site - ului .
Pentru a declanșa o scanare manuală a site-ului, faceți clic pe butonul Scanare acum de pe cardul de bord Site Security Scan.
Dacă Scanarea site-ului detectează o vulnerabilitate, faceți clic pe linkul de vulnerabilitate pentru a vizualiza pagina de detalii.
În pagina vulnerabilității Site Scan, veți vedea dacă există o remediere disponibilă pentru vulnerabilitate. Dacă există un patch disponibil, puteți face clic pe butonul Actualizare plugin pentru a aplica remedierea pe site-ul dvs. web.
2. Activați Gestionarea versiunilor la Actualizare automată dacă remediați vulnerabilitatea
Funcția de gestionare a versiunilor din iThemes Security Pro se integrează cu scanarea site-ului pentru a vă proteja site-ul atunci când software-ul învechit nu este actualizat suficient de rapid. Chiar și cele mai puternice măsuri de securitate vor eșua dacă rulați software vulnerabil pe site-ul dvs. web. Aceste setări vă ajută să vă protejați site-ul cu opțiuni de actualizare la versiuni noi în mod automat, dacă există o vulnerabilitate cunoscută și un patch este disponibil.
Din pagina Setări din iThemes Security Pro, navigați la ecranul Caracteristici. Faceți clic pe fila Verificare site. De aici, utilizați comutatorul pentru a activa gestionarea versiunilor. Folosind setul de setări, puteți configura și mai multe setări, inclusiv modul în care doriți ca iThemes Security Pro să gestioneze actualizările la WordPress, pluginuri, teme și protecție suplimentară.
Asigurați-vă că selectați Actualizare automată dacă remediază o casetă Vulnerabilitate , astfel încât iThemes Security Pro să actualizeze automat un plugin sau o temă dacă remediază o vulnerabilitate găsită de Site Scanner.
3. Obțineți o alertă prin e-mail când iThemes Security Pro constată o vulnerabilitate cunoscută pe site-ul dvs.
După ce ați activat Programarea scanării site-ului, accesați setările Centrului de notificări ale pluginului. Pe acest ecran, derulați la secțiunea Rezultate scanare site .
Faceți clic pe casetă pentru a activa e-mailul de notificare , apoi faceți clic pe butonul Salvare setări .
Acum, în timpul oricărei scanări programate a site-ului, veți primi un e-mail dacă iThemes Security Pro descoperă orice vulnerabilități cunoscute. E-mailul va arăta cam așa.
Obțineți iThemes Security Pro și odihniți-vă puțin mai ușor în seara asta
iThemes Security Pro, pluginul nostru de securitate WordPress, oferă peste 50 de moduri de a vă securiza și proteja site-ul împotriva vulnerabilităților comune de securitate WordPress. Cu WordPress, autentificarea în doi factori, protecția forței brute, aplicarea puternică a parolei și multe altele, puteți adăuga straturi suplimentare de securitate site-ului dvs. web.
Obțineți iThemes Security Pro
În fiecare săptămână, Michael realizează Raportul de vulnerabilitate WordPress pentru a vă menține site-urile în siguranță. În calitate de manager de produs la iThemes, el ne ajută să continuăm să îmbunătățim gama de produse iThemes. Este un tocilar uriaș și iubește să învețe despre toate lucrurile tehnice, vechi și noi. Îl poți găsi pe Michael stând cu soția și fiica sa, citind sau ascultând muzică atunci când nu funcționează.
