รายงานช่องโหว่ของ WordPress: ตุลาคม 2021 ตอนที่ 1

เผยแพร่แล้ว: 2021-10-06

ปลั๊กอินและธีมที่มีช่องโหว่เป็นสาเหตุอันดับ 1 ที่เว็บไซต์ WordPress ถูกแฮ็ก รายงานช่องโหว่ของ WordPress รายสัปดาห์ที่ขับเคลื่อนโดย WPScan ครอบคลุมถึงปลั๊กอิน ธีม และช่องโหว่หลักของ WordPress และสิ่งที่ควรทำหากคุณเรียกใช้ปลั๊กอินหรือธีมที่มีช่องโหว่บนเว็บไซต์ของคุณ

ช่องโหว่แต่ละจุดจะมีระดับความรุนแรง ต่ำ ปานกลาง สูง หรือ วิกฤต การเปิดเผยและการรายงานช่องโหว่อย่างมีความรับผิดชอบเป็นส่วนสำคัญในการทำให้ชุมชน WordPress ปลอดภัย

โปรดแชร์โพสต์นี้กับเพื่อนของคุณเพื่อช่วยเผยแพร่และทำให้ WordPress ปลอดภัยยิ่งขึ้นสำหรับทุกคน

เนื้อหาในรายงานวันที่ 6 ตุลาคม 2564

ต้องการส่งรายงานนี้ไปยังกล่องจดหมายของคุณทุกสัปดาห์หรือไม่

สมัครรับอีเมลรายสัปดาห์

ช่องโหว่หลักของ WordPress

เวอร์ชันล่าสุดของแกน WordPress คือ 5.8.1 ได้รับการเผยแพร่เป็นรุ่นความปลอดภัยและการบำรุงรักษา ตามแนวทางปฏิบัติที่ดีที่สุด อย่าลืมรัน WordPress core เวอร์ชันล่าสุดเสมอ!

ช่องโหว่ของปลั๊กอิน WordPress

ในส่วนนี้ ช่องโหว่ของปลั๊กอิน WordPress ล่าสุดได้รับการเปิดเผยแล้ว รายการปลั๊กอินแต่ละรายการประกอบด้วยประเภทของช่องโหว่ หมายเลขเวอร์ชันหากมีการแพตช์ และระดับความรุนแรง

1. เครื่องมือ WP DSGVO

ปลั๊กอิน: เครื่องมือ WP DSGVO
ช่องโหว่ : Unauthenticated Plugin's Settings Update to Stored Cross-Site Scripting
แพทช์ ในเวอร์ชัน : 3.1.24 – ปิดปลั๊กอิน
คะแนน ความรุนแรง : สูง

ช่องโหว่นี้ได้รับการแก้ไขแล้ว แต่ปลั๊กอินถูกปิด คุณควรหาทดแทนโดยเร็ว

2. คำคมดีๆ

ปลั๊กอิน: คำคมที่ดี
ช่องโหว่ : Admin+ Stored Cross-Site Scripting
Patched in Version : No Know Fix – ปลั๊กอินถูกปิด
คะแนน ความรุนแรง : ต่ำ

ช่องโหว่นี้ยังไม่ได้รับการแก้ไข ถอนการติดตั้งและลบปลั๊กอินจนกว่าจะมีการเปิดตัวแพตช์

3. การดีบัก WP

ปลั๊กอิน: WP Debugging
ช่องโหว่ : Unauthenticated Plugin's Settings Update
แพตช์ในเวอร์ชัน : 2.11.0
คะแนน ความรุนแรง : ปานกลาง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 2.11.0

4. ตรวจสอบและบันทึกอีเมล

ปลั๊กอิน: ตรวจสอบและบันทึกอีเมล
ช่องโหว่ : Admin+ SQL Injections
แพตช์ในเวอร์ชัน : 1.0.3
คะแนน ความรุนแรง : ปานกลาง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 1.0.3

5. Permalink Manager Lite

ปลั๊กอิน: Permalink Manager Lite
ช่องโหว่ : Admin+ SQL Injection
แพตช์ในเวอร์ชัน : 2.2.13.1
คะแนน ความรุนแรง : ปานกลาง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 2.2.13.1

6. ตารางผลิตภัณฑ์ WooCommerce Lite

ปลั๊กอิน: ตารางผลิตภัณฑ์ WooCommerce Lite
ช่องโหว่ : Reflected Cross-Site Scripting
แพตช์ในเวอร์ชัน : 2.4.0
คะแนน ความรุนแรง : ปานกลาง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 2.4.0

7. ตัวสร้างตาราง WP

ปลั๊กอิน: ตัว สร้างตาราง WP
ช่องโหว่ : Reflected Cross-Site Scripting
แพตช์ ในเวอร์ชัน : 1.3.10
คะแนน ความรุนแรง : สูง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 1.3.10

8. ตัวสร้างแบบฟอร์มภาพ

ปลั๊กอิน: Visual Form Builder
ช่องโหว่ : Admin+ Stored Cross-Site Scripting
แพตช์ในเวอร์ชัน : 3.0.4
คะแนน ความรุนแรง : ต่ำ

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 3.0.4

9. NinjaForms

ปลั๊กอิน: NinjaForms
ช่องโหว่: Admin+ Stored Cross-Site Scripting
แพตช์ ในเวอร์ชัน : 3.5.8.2
คะแนน ความรุนแรง : ต่ำ

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 3.5.8.2

10. Wappointment

ปลั๊กอิน: Wappointment
ช่องโหว่ : Unauthenticated Stored Cross-Site Scripting
แพตช์ในเวอร์ชัน : 2.2.5
คะแนน ความรุนแรง : สูง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 2.2.5

11. Countdown and CountUp, WooCommerce Sales Timers

ปลั๊กอิน: นับถอยหลังและนับถอยหลัง, ตัวจับเวลาการขายของ WooCommerce
ช่องโหว่ : CSRF ไปยัง Stored Cross-Site Scripting
แพตช์ในเวอร์ชัน : 1.5.8
คะแนน ความรุนแรง : สูง

ช่องโหว่ได้รับการแก้ไขแล้ว ดังนั้นคุณควรอัปเดตเป็นเวอร์ชัน 1.5.8

11. uListing

ปลั๊กอิน: uListing
ช่องโหว่ : อัปเดตการตั้งค่าผ่าน CSRF
แพตช์ในเวอร์ชัน : 2.0.6
คะแนน ความรุนแรง : ปานกลาง