WordPress Güvenlik Açığı Özeti: Ocak 2020, 1. Bölüm

6. Şehir Kitabı

CityBook 2.9.4 ve altı sürümleri, Kimliği Doğrulanmamış Yansıtılmış XSS, Kimliği Doğrulanmış Kalıcı XSS ​​ve Güvensiz Doğrudan Nesne Referansı dahil olmak üzere birden çok güvenlik açığına sahiptir.

Yapmanız Gerekenler

WordPress Tema ve Eklenti Güvenlik Açıkları Hakkında Nasıl Proaktif Olabilirsiniz?

Eski yazılımları çalıştırmak, WordPress sitelerinin saldırıya uğramasının bir numaralı nedenidir. Bir güncelleme rutininizin olması WordPress sitenizin güvenliği için çok önemlidir. Güncellemeleri gerçekleştirmek için sitelerinize en az haftada bir kez giriş yapmalısınız.

Otomatik Güncellemeler Yardımcı Olabilir

Otomatik güncellemeler, çok sık değişmeyen WordPress web siteleri için harika bir seçimdir. Dikkat eksikliği genellikle bu siteleri ihmal edilir ve saldırılara karşı savunmasız bırakır. Önerilen güvenlik ayarlarıyla bile, sitenizde güvenlik açığı bulunan yazılımları çalıştırmak, bir saldırgana sitenize giriş noktası verebilir.

iThemes Security Pro eklentisinin Sürüm Yönetimi özelliğini kullanarak , en son güvenlik yamalarını aldığınızdan emin olmak için otomatik WordPress güncellemelerini etkinleştirebilirsiniz. Bu ayarlar, yeni sürümlere otomatik olarak güncelleme seçenekleriyle veya sitenin yazılımı eski olduğunda kullanıcı güvenliğini artırma seçenekleriyle sitenizin korunmasına yardımcı olur.

Sürüm Yönetimi Güncelleme Seçenekleri

• WordPress Güncellemeleri – En son WordPress sürümünü otomatik olarak yükleyin.
• Eklenti Otomatik Güncellemeleri – En son eklenti güncellemelerini otomatik olarak yükleyin. Bu sitenin günlük olarak aktif olarak bakımını yapmadığınız ve güncellemeleri yayınlandıktan kısa bir süre sonra manuel olarak yüklemediğiniz sürece, bu etkinleştirilmelidir.
• Tema Otomatik Güncellemeleri – En son tema güncellemelerini otomatik olarak yükleyin. Temanızda dosya özelleştirmeleri yoksa bu etkinleştirilmelidir.
• Eklenti ve Tema güncellemeleri üzerinde Granüler Kontrol – Manuel olarak güncellemek istediğiniz eklentiler/temalar olabilir veya sürümün kararlı olduğunu kanıtlayana kadar güncellemeyi geciktirebilirsiniz. Her bir eklentiyi veya temayı ya hemen güncellenecek ( Etkinleştir ), otomatik olarak güncellenmeyecek ( Devre Dışı Bırak ) veya belirli bir günlük gecikmeyle güncellenecek ( Gecikme ) olarak atama fırsatı için Özel'i seçebilirsiniz.

Kritik Sorunları Güçlendirme ve Uyarıda Bulunma

• Eski Yazılımları Çalıştırırken Siteyi Güçlendirin – Bir ay boyunca mevcut bir güncelleme yüklenmediğinde siteye otomatik olarak ekstra koruma ekleyin. iThemes Security eklentisi, bir ay boyunca güncelleme yüklenmediğinde otomatik olarak daha sıkı güvenlik sağlar. İlk olarak, iki faktörlü etkinleştirilmemiş tüm kullanıcıları tekrar oturum açmadan önce e-posta adreslerine bir oturum açma kodu göndermeye zorlayacaktır. İkinci olarak, WP Dosya Düzenleyicisini devre dışı bırakacaktır (insanların eklenti veya tema kodunu düzenlemesini engellemek için) , XML-RPC geri pingleri ve XML-RPC isteği başına birden çok kimlik doğrulama girişimini engeller (her ikisi de XML-RPC'yi tamamen kapatmak zorunda kalmadan saldırılara karşı daha güçlü hale getirir).
• Diğer Eski WordPress Sitelerini Tara – Bu, barındırma hesabınızdaki diğer eski WordPress yüklemelerini kontrol eder. Güvenlik açığı olan tek bir eski WordPress sitesi, saldırganların aynı barındırma hesabındaki diğer tüm sitelerin güvenliğini aşmasına izin verebilir.
• E-posta Bildirimleri Gönder – Müdahale gerektiren sorunlar için yönetici düzeyindeki kullanıcılara bir e-posta gönderilir.

Birden Fazla WP Sitesini Yönetmek mi? Eklentileri, Temaları ve Çekirdeği iThemes Sync Dashboard'dan Bir Anda Güncelleyin

iThemes Sync, birden fazla WordPress sitesini yönetmenize yardımcı olacak merkezi panomuzdur. Senkronizasyon panosundan, tüm siteleriniz için mevcut güncellemeleri görüntüleyebilir ve ardından tek tıklamayla eklentileri, temaları ve WordPress çekirdeğini güncelleyebilirsiniz . Ayrıca yeni bir sürüm güncellemesi mevcut olduğunda günlük e-posta bildirimleri alabilirsiniz.

30 gün boyunca ÜCRETSİZ Sync'i deneyinDaha fazla bilgi edinin

Web Çevresindeki İhlaller

WordPress ekosistemi dışındaki güvenlik açıklarından da haberdar olmak çok önemli olduğundan, web'deki ihlalleri dahil ediyoruz. Sunucu yazılımına yönelik saldırılar, hassas verileri açığa çıkarabilir. Veritabanı ihlalleri, sitenizdeki kullanıcıların kimlik bilgilerini açığa çıkararak saldırganların sitenize erişmesine kapı açabilir.

1. NSA, Windows 10'daki Güvenlik Açığını Keşfetti

NSA, tehlikeli bir Microsoft yazılım hatası buldu, bu nedenle en son Windows Güvenlik Düzeltme Eki'ne sahip olduğunuzdan emin olun. Güvenlik açığı, sertifikaları ve kriptografik ileti işlevlerini işleyen Windows crypt32.dll ile ilgilidir. Eğer istismar edilirse, bir bilgisayar korsanı bu güvenlik açığını dijital imzalar oluşturmak için kullanabilir.

Ocak 2020, Bölüm 1 için WordPress Güvenlik Açıklarının Özeti

Tip

güvenlik açığı

Düzeltmek

Çekirdek

Ocak 2020'nin ilk yarısında hiçbir WordPress Core güvenlik açığı açıklanmadı.

Eklentiler

Donorbox 7.1 ve 7.1.1 sürümleri, Depolanmış Siteler Arası İstek Sahteciliği saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 7.1.2 sürümüne güncellemelisiniz.

Quiz and Survey Master sürüm 6.3.4 ve altı, Authenticated Reflected XSS saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 6.3.5 sürümüne güncellemelisiniz.

301 Yönlendirmeler sürüm 2.4.0 ve altı, Kimliği Doğrulanmış Keyfi Yönlendirme Enjeksiyonu ve Değiştirilmesi, XSS ve CSRF dahil olmak üzere birden çok güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve 2.45 sürümüne güncellemelisiniz.

Rencontre sürüm 3.2.2 ve altı, birden çok Siteler Arası İstek Sahteciliği güvenlik açığı içerir.

Güvenlik açığı düzeltildi ve onu 3.2.3 sürümüne güncellemelisiniz.

URL sürüm 2.7.7 ve altındaki Öne Çıkan Resim, Bozuk Kimlik Doğrulama güvenlik açığı oluşturan REST yollarında Erişim Kontrolleri eksik.

Güvenlik açığı düzeltildi ve onu 2.7.8 sürümüne güncellemelisiniz.

bbPress Üyelerine Özel 1.2.1 ve altı sürümleri, eklentilerin İsteğe Bağlı Ayarlar sayfasındaki Siteler Arası İstek Sahteciliği saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 1.3.1 sürümüne güncellemelisiniz.

bbPress Oturum Aç Kaydolun Forum Konu Sayfalarındaki Bağlantılar 2.7.5 ve önceki sürümler, Depolanmış Siteler Arası Komut Dosyası Çalıştırma saldırısına yol açabilecek bir Siteler Arası İstek Sahteciliği güvenlik açığı içerir.

Güvenlik açığı düzeltildi ve onu 2.8.5 sürümüne güncellemelisiniz.

GDPR Çerez Uyumluluğu 4.0.2 ve altı sürümleri, kimliği doğrulanmış bir kullanıcının eklenti ayarlarını silmesine izin verecek bir yetenek kontrolü ve bir güvenlik nonce'sinden yoksundur.

Güvenlik açığı düzeltildi ve onu 4.0.3 sürümüne güncellemelisiniz.

Fotoğraf Galerisi sürümleri 2.0.6 ve altı, Keyfi Eklenti Devre Dışı Bırakma saldırısına karşı güvenlik açığıdır

Güvenlik açığı düzeltildi ve onu 2.0.7 sürümüne güncellemelisiniz.

Minimal Çok Yakında ve Bakım Modu sürüm 2.10 ve altı birden çok güvenlik açığına sahip

Güvenlik açığı düzeltildi ve onu 2.17 sürümüne güncellemelisiniz.

WooCommerce Conversion Tracking 2.04 ve altı sürümleri, Stored XSS saldırısına yol açan Siteler Arası Sahtecilik İsteğine karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 2.0.5 sürümüne güncellemelisiniz.

Postie sürüm 1.9.40 ve altı, kimliği doğrulanmamış bir kullanıcının yeni bir gönderi yayınlamasına yol açabilecek Posta Spoofing ve Stored XSS güvenlik açığına sahiptir. Bu bir sıfır gün güvenlik açığıdır ve herkes Postie eklentisinden yararlanmayla ilgili talimatları kolayca bulabilir.

WordPress.org, Postie'yi 8 Ocak 2019'da kapattı, bu yüzden eklentiyi kaldırıp yenisini bulmanızı öneririm.

1.15 Meta sürümleriyle CSV'den Kullanıcıları İçe Aktar, Yetkisiz Kimliği Doğrulanmış Kullanıcıları Dışa Aktarma güvenlik açığına sahiptir. Eksik bir yetenek kontrolü, yetkisiz bir kullanıcının WordPress kullanıcılarını dışa aktarmasına izin verir.

Güvenlik açığı düzeltildi ve onu 1.15.0.1 sürümüne güncellemelisiniz.

Ultimate FAQ sürümleri 1.8.29 ve altı, Kimlik Doğrulanmamış Yansıtılan XSS güvenlik açığına sahiptir. SSS kısa kodu, Display_FAQ GET parametresini temizlemez; bu, kısa kodun görüntülendiği sayfalarda Yansıtılan Siteler Arası Komut Dosyası Çalıştırma saldırısına yol açabilir.

Güvenlik açığı düzeltildi ve 1.8.30 sürümüne güncellemelisiniz.

Google için WP Basit Elektronik Tablo Alıcısı 0.3.6 ve önceki sürümler, bir saldırganın API anahtarı belirlemesine ve rastgele seçmesine olanak verebilecek bir Siteler Arası Sahtecilik İsteği güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 0.3.7 sürümüne güncellemelisiniz.

WP Time Capsule tarafından Yedekleme ve Hazırlama 1.21.15 ve önceki sürümlerin sürümleri, bir saldırganın Yönetici kullanıcı olarak oturum açmasına izin verecek bir Kimlik Doğrulama Atlama güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 1.21.16 sürümüne güncellemelisiniz.

InfiniteWP İstemci sürümleri 1.9.4.4 ve altı, bir saldırganın Yönetici kullanıcı olarak oturum açmasına izin verecek bir Kimlik Doğrulama Atlama güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve 1.9.4.5 sürümüne güncellemelisiniz.

Ultimate Açık Artırma sürüm 4.0.5 ve altı, birden fazla Siteler Arası İstek Sahteciliği ve Siteler Arası Komut Dosyası Çalıştırma güvenlik açıklarına sahiptir.

Güvenlik açığı düzeltildi ve onu 4.0.6 sürümüne güncellemelisiniz.

WooCommerce – Store Exporter sürüm 2.3.1 ve altı, bir CSV enjeksiyon saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 2.4 sürümüne güncellemelisiniz.

Müthiş Destek sürümü 5.7.1 ve altı, depolanmış bir XSS saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 5.8.0 sürümüne güncellemelisiniz.

Admin Dashboard sürüm 1.1.3 ve altındaki videolar, Kimliği Doğrulanmış Depolanmış XSS saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 1.1.4 sürümüne güncellemelisiniz.

Bilgisayar Tamirhanesi sürüm 1.0, Kimliği Doğrulanmış Depolanmış XSS saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu sürüm 2.0'a güncellemelisiniz.

LearnDash sürüm 3.1.1 ve aşağıdaki sürümler, Yansıtılan Siteler Arası Komut Dosyası Çalıştırma saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 3.1.2 sürümüne güncellemelisiniz.

Temalar

ListingPro 2.5.3 ve altı sürümleri, Kimliği Doğrulanmamış Yansıtılmış XSS saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 2.5.4 sürümüne güncellemelisiniz.

Seyahat Rezervasyonu sürümleri 2.7.8.5 ve altı, Yansıtılan ve Kalıcı XSS ​​güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 2.7.8.6 sürümüne güncellemelisiniz.

4.0.10 sürümlerinin altındaki ElegantThemes Divi, Divi Builder ve Extra, bir Kimliği Doğrulanmış Kod Enjeksiyonu saldırısına karşı savunmasızdır.

Güvenlik açığı düzeltildi ve onu 4.0.10 sürümüne güncellemelisiniz.

EasyBook sürüm 1.2.1 ve altı, Kimliği Doğrulanmamış Yansıtılmış XSS, Kimliği Doğrulanmış Kalıcı XSS ​​ve Güvensiz Doğrudan Nesne Başvurusu dahil olmak üzere birden çok güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 1.2.2 sürümüne güncellemelisiniz.

TownHub 1.0.5 ve altı sürümleri, Kimliği Doğrulanmamış Yansıtılmış XSS, Kimliği Doğrulanmış Kalıcı XSS ​​ve Güvensiz Doğrudan Nesne Başvurusu dahil olmak üzere birden çok güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 1.0.6 sürümüne güncellemelisiniz.

CityBook 2.9.4 ve altı sürümleri, Kimliği Doğrulanmamış Yansıtılmış XSS, Kimliği Doğrulanmış Kalıcı XSS ​​ve Güvensiz Doğrudan Nesne Referansı dahil olmak üzere birden çok güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve onu 2.9.5 sürümüne güncellemelisiniz.

Real Estate 7 sürüm 2.3.3 ve altı, Kimliği Doğrulanmamış Yansıtılmış XSS, Kimliği Doğrulanmış Kalıcı XSS ​​ve Güvensiz Doğrudan Nesne Başvurusu dahil olmak üzere birden çok güvenlik açığına sahiptir.

Güvenlik açığı düzeltildi ve 2.3.4 sürümüne güncellemelisiniz.

Bir WordPress Güvenlik Eklentisi Web Sitenizin Güvenliğini Sağlayabilir

WordPress güvenlik eklentimiz iThemes Security Pro, web sitenizi yaygın WordPress güvenlik açıklarından korumak ve korumak için 30'dan fazla yol sunar. WordPress, iki faktörlü kimlik doğrulama, kaba kuvvet koruması, güçlü parola uygulaması ve daha fazlasıyla web sitenize ekstra bir güvenlik katmanı ekleyebilirsiniz.

10 önemli ipucu ile WordPress güvenliği hakkında daha fazla bilgi edinin. E-kitabı şimdi indirin: WordPress Güvenliği Kılavuzu

Şimdi İndirin

iThemes Güvenliğini Alın

Michael Moore

Michael, sitelerinizi güvende tutmanıza yardımcı olmak için her hafta WordPress Güvenlik Açığı Raporunu bir araya getiriyor. iThemes'te Ürün Müdürü olarak, iThemes ürün serisini geliştirmeye devam etmemize yardımcı oluyor. Dev bir inek ve teknik, eski ve yeni her şeyi öğrenmeyi seviyor. Michael'ı karısı ve kızıyla takılırken, çalışmadığı zamanlarda kitap okurken veya müzik dinlerken bulabilirsiniz.