WordPress 漏洞报告：2022 年 1 月，第 2 部分

已发表: 2022-01-12

易受攻击的插件和主题是 WordPress 网站被黑客入侵的第一大原因。 由 WPScan 提供支持的每周 WordPress 漏洞报告涵盖最近的 WordPress 插件、主题和核心漏洞，以及如果您在网站上运行易受攻击的插件或主题之一该怎么办。

每个漏洞的严重性等级为“低”、 “中” 、“高”或“严重” 。 负责任地披露和报告漏洞是保持 WordPress 社区安全的一个组成部分。 本报告中的新内容：漏洞现在按活动安装数量而不是披露日期排列。

请与您的朋友分享这篇文章，以帮助宣传并让每个人都更安全地使用 WordPress ！

希望每周将此报告发送到您的收件箱吗？
订阅每周电子邮件

WordPress 核心漏洞

最新版本的 WordPress 核心于 2022 年 1 月 6 日作为短周期安全版本发布。 由于 WordPress 5.8.3 是一个安全版本，我们建议您立即更新所有站点。

您可以通过从 WordPress.org 下载或访问您的 WordPress 管理仪表板 > 更新并单击立即更新来更新到 WordPress 5.8.3。

如果您的网站启用了自动后台更新，它们应该已经成功更新。

WordPress 核心

漏洞：通过 WP_Query 的 SQL 注入
补丁版本：5.8.3
说明：由于 WP_Meta_Query 中缺乏适当的清理，可能存在盲 SQL 注入。

该漏洞已修复，因此请确保您运行的是 WordPress 5.8.3。

漏洞：作者+通过 Post Slugs 存储的 XSS
补丁版本：5.8.3
说明： WordPress 核心中的低权限认证用户（如作者）能够通过 post slugs 执行 JavaScript/执行存储的 XSS 攻击，这可能会影响高权限用户。

该漏洞已修复，因此请确保您运行的是 WordPress 5.8.3。

漏洞：多站点中的超级管理员对象注入
补丁版本：5.8.3
说明：在多站点上，具有超级管理员角色的用户可以在某些条件下通过对象注入绕过显式/附加强化。

该漏洞已修复，因此请确保您运行的是 WordPress 5.8.3。

漏洞：通过 WP_Meta_Query 注入 SQL
补丁版本：5.8.3
说明：由于 WP_Meta_Query 中缺乏适当的清理，可能存在盲 SQL 注入。

该漏洞已修复，因此请确保您运行的是 WordPress 5.8.3。

WordPress 插件漏洞

在本节中，已经披露了最新的 WordPress 插件漏洞。 每个插件列表都包括漏洞类型、活动安装、已修补的版本号以及严重性等级。

1. SVG 支持

插件： SVG 支持
漏洞：管理员+存储的跨站点脚本
活跃安装：800,000+
补丁版本：2.3.20
严重性评分：低

该漏洞已修复，因此您应该更新到版本 2.3.20。

2. 资产清理

插件：资产清理
漏洞：通过 AJAX 操作反射的跨站点脚本
活跃安装：100,000+
补丁版本：1.3.8.5
严重性评分：高

该漏洞已修补，因此您应该更新到版本 1.3.8.5。

插件：资产清理
漏洞：反射跨站脚本
活跃安装：100,000+
补丁版本：1.3.8.5
严重性评分：中

该漏洞已修补，因此您应该更新到版本 1.3.8.5。

3. 付费会员专业版

插件：付费会员专业版
漏洞：未经身份验证的盲 SQL 注入
活跃安装：100,000+
补丁版本：2.6.7
严重性评分：严重

该漏洞已修复，因此您应该更新到版本 2.6.7。

4. NextScripts：社交网络自动海报

插件： NextScripts：社交网络自动海报
漏洞：通过 CSRF 的任意帖子删除
活跃安装: 90,000+
补丁版本：4.3.25
严重性评分：中

该漏洞已修复，因此您应该更新到版本 4.3.25。

插件： NextScripts：社交网络自动海报
漏洞：未经身份验证的存储型 XSS
活跃安装: 90,000+
补丁版本：4.3.25
严重性评分：高

该漏洞已修复，因此您应该更新到版本 4.3.25。

5. 象牙搜索

插件：象牙搜索
漏洞：贡献者+存储的跨站点脚本
活跃安装：80,000+
补丁版本：5.4.1
严重性评分：高

该漏洞已修补，因此您应该更新到版本 5.4.1。

6.简单的社交饲料

插件：简单的社交饲料
漏洞：反射跨站脚本（XSS）
活跃安装：70,000+
补丁版本：6.2.7
严重性评分：高

该漏洞已修复，因此您应该更新到版本 6.2.7。

7. 视觉 CSS 样式编辑器

插件：视觉 CSS 样式编辑器
漏洞：反射跨站脚本
活跃安装：50,000+
补丁版本：7.5.4
严重性评分：高

该漏洞已修复，因此您应该更新到版本 7.5.4。

8. 联系表格条目

插件：联系表格条目
漏洞：未经身份验证的存储跨站脚本
活跃安装：40,000+
补丁版本：1.1.7
严重性评分：高

该漏洞已修复，因此您应该更新到版本 1.1.7。

9. 高级 Cron 管理器

插件：高级 Cron 管理器
漏洞：订阅者+任意事件/时间表创建/删除
活跃安装：30,000+
补丁版本：2.4.2
严重性评分：中

该漏洞已修补，因此您应该更新到版本 2.4.2。

10. WPLegalPages

插件： WPLegalPages
漏洞：订阅者+任意设置更新到存储的 XSS
活跃安装：20,000+
补丁版本：2.7.1
严重性评分：中

该漏洞已修复，因此您应该更新到版本 2.7.1。

11. WP访客统计（实时流量）

插件： WP 访客统计（实时流量）
漏洞：订阅者+ SQL 注入
活跃安装：20,000+
补丁版本：4.8
严重性评分：高

该漏洞已修补，因此您应该更新到版本 4.8。

12. 邪恶的文件夹

插件：邪恶文件夹
漏洞：订阅者+ SQL 注入
活跃安装：10,000+
补丁版本：2.8.10
严重性评分：高

该漏洞已修复，因此您应该更新到版本 2.8.10。

13.支持糖果

插件：支持糖果
漏洞：贡献者+存储的跨站点脚本
活跃安装：10,000+
补丁版本：2.2.7
严重性评分：中

该漏洞已修补，因此您应该更新到版本 2.2.7。

插件：支持糖果
漏洞：CSRF 到跨站脚本
活跃安装：10,000+
补丁版本：2.2.7
严重性评分：中

该漏洞已修补，因此您应该更新到版本 2.2.7。

插件：支持糖果
漏洞：通过 CSRF 任意删除票证
活跃安装：10,000+
补丁版本：2.2.7
严重性评分：高

该漏洞已修补，因此您应该更新到版本 2.2.7。

插件：支持糖果
漏洞：未经身份验证的任意票证删除
活跃安装：10,000+
补丁版本：2.2.7
严重性评分：高

该漏洞已修补，因此您应该更新到版本 2.2.7。

插件：支持糖果
漏洞：反射跨站脚本
活跃安装：10,000+
补丁版本：2.2.7
严重性评分：中

该漏洞已修补，因此您应该更新到版本 2.2.7。

14. 重新排列 Woocommerce 产品

插件：重新排列 Woocommerce 产品
漏洞：订阅者+ SQL 注入
活跃安装：10,000+
补丁版本：3.0.8
严重性评分：高

该漏洞已修补，因此您应该更新到版本 3.0.8。

15. IP2Location 国家拦截器

插件： IP2Location Country Blocker
漏洞：通过 CSRF 的任意国家禁令
活跃安装：10,000+
补丁版本：2.26.6
严重性评分：中

该漏洞已修复，因此您应该更新到版本 2.26.6。

插件： IP2Location Country Blocker
漏洞：订阅者+任意国家禁令
活跃安装：10,000+
补丁版本：2.26.6
严重性评分：中

该漏洞已修复，因此您应该更新到版本 2.26.6。

插件： IP2Location Country Blocker
漏洞：禁止绕过
活跃安装：10,000+
补丁版本：2.26.6
严重性评分：中

该漏洞已修复，因此您应该更新到版本 2.26.6。

16. 很棒的支持 – WordPress HelpDesk & Support Plugin

插件：很棒的支持 – Titan 框架
漏洞：反射跨站脚本（XSS）
活跃安装：10,000+
补丁版本：6.0.11
严重性评分：高

该漏洞已修复，因此您应该更新到版本 6.0.11。

17. 终极产品目录

插件：终极产品目录
漏洞：订阅者+任意产品创建和设置更新
活跃安装：10,000
补丁版本：5.0.26
严重性评分：中

该漏洞已修复，因此您应该更新到版本 5.0.26。

18. 文档嵌入器

插件：文档嵌入器
漏洞：订阅者+任意私人/草稿帖子标题披露
活跃安装: 9,000+
补丁版本：1.7.9
严重性评分：中

该漏洞已修复，因此您应该更新到版本 1.7.9。

插件：文档嵌入器
漏洞：未经身份验证的任意私人/草稿帖子标题披露
活跃安装: 9,000+
补丁版本：1.7.9
严重性评分：中

该漏洞已修复，因此您应该更新到版本 1.7.9。

19. RVM——响应向量图

插件： RVM - 响应向量图
漏洞：订阅者+任意文件读取
活跃安装: 6,000+
补丁版本：6.4.2
严重性评分：高

该漏洞已修复，因此您应该更新到版本 6.4.2。

20. 媒体

插件： Mediamatic
漏洞：订阅者+ SQL 注入
主动安装：3,000+
补丁版本：2.8.1
严重性评分：高

该漏洞已修复，因此您应该更新到版本 2.8.1。

21. 乌普拉

插件： Woopra
漏洞：未经身份验证的任意文件上传
主动安装：2,000+
补丁版本：1.4.3.2
严重性评分：严重

该漏洞已修复，因此您应该更新到版本 1.4.3.2。

22. 用户权限访问管理器

插件：用户权限访问管理器
漏洞：访问限制绕过
主动安装：900+
补丁版本：1.0.8
严重性评分：中

该漏洞已修复，因此您应该更新到版本 1.0.8。

23. YuMoney按钮

插件： YuMoney 按钮 – Titan 框架
漏洞：反射跨站脚本（XSS）
主动安装：900+
补丁版本：2.4.0
严重性评分：高

该漏洞已修复，因此您应该更新到版本 2.4.0。

24. 与 WooCommerce 的 TrustMate.io 集成

插件： WooCommerce 的 TrustMate.io 集成
漏洞：订阅者+任意插件的设置更新
主动安装：300+
补丁版本：1.8.12
严重性评分：高

该漏洞已修复，因此您应该更新到版本 1.8.12。

插件： WooCommerce 的 TrustMate.io 集成
漏洞：订阅者+任意博客选项更新
主动安装：300+
补丁版本：1.7.1
严重性评分：高

该漏洞已修复，因此您应该更新到版本 1.8.12。

25. 真正的排名者

插件：真正的排名
漏洞：通过路径遍历进行未经身份验证的任意文件访问
主动安装：300+
补丁版本：2.2.4
严重性评分：高

该漏洞已修复，因此您应该更新到版本 2.2.4。

26. WordPress的WebHotelier

插件：用于 WordPress 的 WebHotelier – Titan 框架
漏洞：反射跨站脚本（XSS）
主动安装：200+
补丁版本：1.6.1
严重性评分：高

该漏洞已修补，因此您应该更新到版本 1.6.1。

高级插件漏洞

在本节中，已经披露了最新的 WordPress 高级插件漏洞。 每个插件列表都包括漏洞类型、补丁版本号和严重等级。

27. 高级 Cron Manager Pro

插件：高级 Cron Manager Pro
漏洞：订阅者+任意事件/时间表创建/删除
补丁版本：2.5.3
严重性评分：中

该漏洞已修补，因此您应该更新到版本 2.5.3。

WordPress 插件漏洞：未知修复

在本节中，已在封闭插件中披露了最新的 WordPress 插件漏洞。 每个插件列表都包括漏洞类型、严重等级和关闭日期。

28.联系表格7皮肤

插件：联系表格 7 皮肤
漏洞：反射跨站脚本（XSS）
活跃安装：30,000+
已修补版本：无已知修复
严重性评分：中

此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

29. WooRockets Nitro

插件： WooRockets Nitro
漏洞：未经身份验证的任意插件安装
已修补版本：无已知修复
严重性评分：严重

此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

30. 亚马逊会员

插件：亚马逊会员
漏洞：反射跨站脚本
已修补版本：无已知修复
严重性评分：中

此漏洞尚未修补。 卸载并删除插件，直到发布补丁。

如何保护您的 WordPress 网站免受易受攻击的插件和主题的影响

从这份报告中可以看出，每周都会披露大量新的 WordPress 插件和主题漏洞。 我们知道很难掌握每个报告的漏洞披露，因此 iThemes Security Pro 插件可以轻松确保您的网站没有运行具有已知漏洞的主题、插件或 WordPress 核心版本。

1. 安装 iThemes Security Pro 插件

iThemes Security Pro 插件可强化您的 WordPress 网站，使其免受网站被黑客入侵的最常见方式。 通过 30 多种方法在一个易于使用的插件中保护您的网站。

2.启用站点扫描以检查已知漏洞

iThemes Security Pro 中的版本管理功能与站点扫描集成以保护您的站点。 易受攻击的主题、插件和 WordPress 核心版本将自动为您更新。

3.激活文件更改检测

快速发现安全漏洞的关键是监控您网站上的文件更改。 iThemes Security Pro 中的文件更改检测功能将扫描您网站的文件，并在您的网站发生更改时提醒您。

获取具有 24/7 网站安全监控的 iThemes Security Pro

iThemes Security Pro 是我们的 WordPress 安全插件，提供 50 多种方法来保护您的网站免受常见 WordPress 安全漏洞的侵害。 借助 WordPress、双重身份验证、暴力破解保护、强密码强制执行等功能，您可以为您的网站添加额外的安全层。

  • 插件和主题漏洞的站点扫描程序
  • 文件更改检测
  • 实时网站安全仪表板
  • WordPress 安全日志
  • 受信任的设备
  • 重新验证码
  • 蛮力保护
  • 权限提升
  • 泄露密码检查和拒绝

获取 iThemes 安全专业版