WordPress 漏洞报告：2021 年 12 月，第 1 部分
已发表: 2021-12-02易受攻击的插件和主题是 WordPress 网站被黑客入侵的第一大原因。 由 WPScan 提供支持的每周 WordPress 漏洞报告涵盖最近的 WordPress 插件、主题和核心漏洞，以及如果您在网站上运行易受攻击的插件或主题之一该怎么办。
每个漏洞的严重性等级为“低”、 “中” 、“高”或“严重” 。 负责任地披露和报告漏洞是保持 WordPress 社区安全的一个组成部分。
请与您的朋友分享这篇文章，以帮助宣传并让每个人都更安全地使用 WordPress。
WordPress 托管：GoDaddy 被黑
在 2021 年 11 月 21 日发布的安全披露中，GoDaddy 表示，在黑客获得对其托管 WordPress 托管平台的访问权限后，多达 120 万活跃和非活跃客户被暴露。
我们写了一篇文章来解开最近的 GoDaddy 黑客攻击的一些细节，它如何影响客户，以及如果您是 GoDaddy 的 WordPress 托管客户，我们对如何做的建议。
WordPress 核心漏洞
最新版本的 WordPress 核心是 5.8.2。 作为最佳实践，请始终确保运行最新版本的 WordPress 核心！
WordPress 插件漏洞
在本节中，已经披露了最新的 WordPress 插件漏洞。 每个插件列表都包括漏洞类型、补丁版本号和严重等级。
1. 标志轮播
插件：徽标轮播
漏洞：贡献者+存储的跨站点脚本
补丁版本：3.4.2
严重性评分：中
插件：徽标轮播
漏洞：未经授权的私人帖子访问
补丁版本：3.4.2
严重性评分：中
2. Ni WooCommerce 自定义订单状态
插件： Ni WooCommerce 自定义订单状态
漏洞：订阅者+ SQL 注入
补丁版本：1.9.7
严重性评分：高
3.WCFM
插件： WCFM
漏洞：未经身份验证的 SQL 注入
补丁版本：3.4.12
严重性评分：高
4.珠穆朗玛峰形式
插件：珠穆朗玛峰形式
漏洞：反射跨站脚本
补丁版本：1.8.0
严重性评分：中
5. WP访客统计（实时流量）
插件： WP 访客统计（实时流量）
漏洞：订阅者+ SQL 注入
补丁版本：4.8
严重性评分：高
6. 荣誉捐赠
插件：荣誉捐赠
漏洞：通过 CSRF 删除任意项目
补丁版本：3.1.2
严重性评分：高
7. 冰图
插件： Icegram
漏洞：反射跨站脚本
补丁版本：2.0.5
严重性评分：中
8. Blog2Social
插件： Blog2Social
漏洞：反射跨站脚本
补丁版本：6.8.7
严重性评分：高
9. 付费会员专业版
插件：付费会员专业版
漏洞：反射跨站脚本
补丁版本：2.6.6
严重性评分：高
10. WPFront 用户角色编辑器
插件： WPFront 用户角色编辑器
漏洞：反射跨站脚本
补丁版本：3.2.1.11184
严重性评分：中
11. 蒂克拉
插件： Ticker
漏洞：未经身份验证的存储跨站脚本
补丁版本：3.4.8.3
严重性评分：高
12. WP 孔雀鱼
插件： WP Guppy
漏洞：敏感信息泄露
补丁版本：1.3
严重性评分：高
13.简单的JWT登录
插件：简单的 JWT 登录
漏洞：不安全的密码创建
补丁版本：3.3.0
严重性评分：低
14.myCRED
插件： myCRED
漏洞：反射跨站脚本
补丁版本：1.7.8
严重性评分：高
15. 隐藏我的 WP
插件：隐藏我的 WP
漏洞：未经身份验证的插件停用
补丁版本：6.2.4
严重性评分：中
插件：隐藏我的 WP
漏洞：未经身份验证的 SQL 注入
补丁版本：6.2.4
严重性评分：高
16. 很棒的支持 – WordPress HelpDesk & Support Plugin
插件：很棒的支持 – WordPress HelpDesk & Support Plugin
漏洞：反射跨站脚本
补丁版本： 6.0.7
严重性评分：高
17. 显示帖子元数据
插件：显示帖子元数据
漏洞：贡献者+存储的跨站点脚本
补丁版本：1.5.0
严重性评分：中
18. 浮动社交媒体图标
插件：浮动社交媒体图标
漏洞：管理员+存储的跨站点脚本
已修补版本：无已知修复 - 插件已关闭
严重性评分：低
19. Gwolle 留言簿
插件： Gwolle 留言簿
漏洞：反射跨站脚本
补丁版本：4.2.0
严重性评分：中
如何保护您的 WordPress 网站免受易受攻击的插件和主题的影响
从这份报告中可以看出，每周都会披露大量新的 WordPress 插件和主题漏洞。 我们知道很难掌握每个报告的漏洞披露，因此 iThemes Security Pro 插件可以轻松确保您的网站没有运行具有已知漏洞的主题、插件或 WordPress 核心版本。
1. 安装 iThemes Security Pro 插件
iThemes Security Pro 插件可强化您的 WordPress 网站，使其免受网站被黑客入侵的最常见方式。 通过 30 多种方法在一个易于使用的插件中保护您的网站。
2.启用站点扫描以检查已知漏洞
iThemes Security Pro 中的版本管理功能与站点扫描集成以保护您的站点。 易受攻击的主题、插件和 WordPress 核心版本将自动为您更新。
3.激活文件更改检测
快速发现安全漏洞的关键是监控您网站上的文件更改。 iThemes Security Pro 中的文件更改检测功能将扫描您网站的文件，并在您的网站发生更改时提醒您。
获取具有 24/7 网站安全监控的 iThemes Security Pro
iThemes Security Pro 是我们的 WordPress 安全插件，提供 50 多种方法来保护您的网站免受常见 WordPress 安全漏洞的侵害。 借助 WordPress、双重身份验证、暴力破解保护、强密码强制执行等功能，您可以为您的网站添加额外的安全层。
