WordPress 漏洞报告：2021 年 4 月，第 2 部分

已发表: 2021-04-15

4 月的第二周披露了新的 WordPress 插件和主题漏洞。 这篇文章涵盖了最近的 WordPress 插件、主题和核心漏洞，以及如果您在网站上运行易受攻击的插件或主题之一时该怎么做。

WordPress 漏洞综述分为三个不同的类别：WordPress 核心、WordPress 插件和 WordPress 主题。

每个漏洞的严重性等级为低、中、高或严重。 严重性评级基于通用漏洞评分系统。

在 4 月，第 2 部分报告

    WordPress 核心漏洞

    好消息！ 本月没有披露任何新的 WordPress 核心漏洞。

    WordPress 的最新版本目前是 5.7。 确保您的所有网站都运行最新版本的 WordPress 核心。

    WordPress 插件漏洞

    本节涵盖 WordPress 插件中的漏洞，以及有关是否更新或删除易受攻击的插件的说明。

    1. iThemes 安全免费和专业版

    漏洞：隐藏后端绕过
    已修补版本（iThemes 安全性） ：7.9.1
    已修补版本（iThemes Security Pro） ：6.8.4
    严重性：高– CVSS:3.1AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/

    iThemes Security 中的隐藏后端功能允许用户通过更改其名称并阻止访问 wp-login.php 和 wp-admin 来隐藏登录页面。 在低于 7.9.1 的 iThemes Security 和低于 6.8.4 的 iThemes Security Pro 版本中发现了一个错误，使隐藏的登录页面可被发现，从而降低了该功能的有效性。

    更新到 iThemes Security 7.9.1 版和 iThemes Security Pro 6.8.4 版以接收隐藏支持绕过解决方法补丁。

    注意：您应该意识到，无论我们尝试改进多少，隐藏后端功能都不是完全可靠的。 事实上，出于安全原因隐藏网站登录页面的有效性是我们的 #1 WordPress 安全神话。 为什么？ 事实是，您无法完全隐藏网站的后端。 在打印登录页面的链接（如隐私请求确认或前端登录表单）时，登录页面可能会被 WordPress 核心、插件或主题暴露。

    隐藏后端不应用作高级网站安全措施的替代品，例如强制执行强密码和双因素身份验证。

    2. 简单会员

    漏洞：经过身份验证的 SQL 注入
    已修补版本：4.0.4
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L

    该漏洞已修补，因此您应该更新到版本 4.0.4。

    3. WPBakery 页面生成器剪贴板

    漏洞：订阅者+存储的跨站脚本
    已修补版本：4.5.6
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

    漏洞：未经授权的任意许可选项更新
    已修补版本：4.5.8
    严重性：中– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

    该漏洞已修补，因此您应该更新到版本 4.5.8+

    4. OpenID Connect 通用客户端

    漏洞：反射跨站脚本
    修补版本：3.8.2
    严重性：中– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

    该漏洞已修补，因此您应该更新到 3.8.2+ 版本。

    5. 阻止垃圾邮件发送者

    漏洞：反射跨站脚本
    补丁版本：2021.9
    严重性：中– CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

    该漏洞已修补，因此您应该更新到版本 2021.9。

    6. 图像

    漏洞：未经身份验证的任意文件上传到 RCE
    已修补版本：无已知修复
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    7. WorkScout 核心插件

    漏洞：经过身份验证的存储型 XSS 和 XFS
    已修补版本：1.3.4
    严重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    该漏洞已修补，因此您应该更新到 1.3.4+ 版本。

    8. 拉森斯日历

    漏洞：存储的跨站脚本
    已修补版本：无已知修复
    严重性：高– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    9.联系表格检查测试员

    漏洞：对跨站点脚本的访问控制中断
    已修补版本：无已知修复
    严重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    10. 商业目录插件

    漏洞：任意列表导出
    修补版本：5.11.2
    严重性：高– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

    漏洞：任意付款历史更新
    修补版本：5.11.2
    严重性：中– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

    漏洞：经过身份验证的存储跨站点脚本
    修补版本：5.11.2
    严重性：中– CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

    该漏洞已修补，因此您应该更新到版本 5.11.2+。

    11.活动横幅

    漏洞：任意文件上传到 RCE
    已修补版本：无已知修复
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    12. Classyfrieds

    漏洞：经过身份验证的任意文件上传到 RCE
    已修补版本：无已知修复
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    13. 大学出版社导入

    漏洞：任意文件上传到 RCE
    已修补版本：无已知修复
    严重性：严重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

    WordPress 主题漏洞

    1. WorkScout 核心主题

    漏洞：经过身份验证的存储型 XSS 和 XFS
    修补版本：2.0.33
    严重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    该漏洞已修补，因此您应该更新到 2.0.33+ 版本。

    WordPress 安全插件可以帮助保护您的网站

    iThemes Security Pro 是我们的 WordPress 安全插件，提供 50 多种方法来保护您的网站免受常见 WordPress 安全漏洞的侵害。 借助 WordPress、双因素身份验证、强力保护、强密码强制执行等，您可以为您的网站增加一层额外的安全性。

    获取 iThemes 安全专业版

    WordPress 漏洞报告