WordPress 漏洞报告：2021 年 6 月，第 3 部分

已发表: 2021-06-16

易受攻击的插件和主题是 WordPress 网站被黑的第一大原因。 由 WPScan 提供支持的每周 WordPress 漏洞报告涵盖了最近的 WordPress 插件、主题和核心漏洞，以及如果您在网站上运行易受攻击的插件或主题之一该怎么办。

每个漏洞的严重性等级为低、中、高或严重。 负责任地披露和报告漏洞是确保 WordPress 社区安全的一个组成部分。 请与您的朋友分享这篇文章，以帮助宣传并使 WordPress 对每个人都更安全。

在六月，第 3 部分报告
    将每周 WordPress 漏洞报告直接发送到您的收件箱！
    立即注册

    WordPress 核心漏洞

    截至今天，WordPress 的当前版本是 5.7.2。 请务必确保您的所有网站都是最新的！

    本月没有披露任何新的 WordPress 核心漏洞。 确保您在所有站点上运行 WordPress 5.7.2。

    WordPress 插件漏洞

    1. 最近

    插件：最近
    漏洞：经过身份验证的代码注入
    修补版本：3.0.5
    严重性：高

    插件：最近
    漏洞：经过身份验证的存储跨站点脚本
    修补版本：3.0.5
    严重性：中

    2. WordPress 热门帖子

    插件： WordPress 热门帖子
    漏洞：经过身份验证的代码注入
    修补版本：5.3.3
    严重性评分：高

    插件： WordPress 热门帖子
    漏洞：经过身份验证的存储跨站点脚本
    修补版本：5.3.3
    严重性评分：中等

    3. WP 硬化

    插件： WP 强化
    漏洞：通过 URI 反射跨站脚本
    已修补版本：1.2.2
    严重性评分：中等

    插件： WP 强化
    漏洞：通过 historyvalue 反射跨站脚本
    已修补版本：1.2.2
    严重性评分：高

    4.评论喜欢不喜欢

    插件：评论喜欢不喜欢
    漏洞：添加喜欢/不喜欢绕过
    已修补版本：1.1.4
    严重性评分：中等

    5. WP 配置文件编辑器

    插件： WP 配置文件编辑器
    漏洞：经过身份验证的存储跨站点脚本
    已修补版本：无已知修复
    严重性评分：中等

    6. 管理栏免费和专业版

    插件：管理栏免费
    漏洞：经过身份验证的存储跨站点脚本
    已修补版本：4.3
    严重性评分：中等

    插件： Admin Columns Pro
    漏洞：经过身份验证的存储跨站点脚本
    已修补版本：5.5.1
    严重性评分：中等

    7. WP 谷歌地图

    插件： WP 谷歌地图
    漏洞：经过身份验证的存储跨站点脚本
    修补版本：8.1.12
    严重性评分：中等

    8. WooCommerce 的 Stripe 支付网关

    插件： WooCommerce 的 Stripe 支付网关
    漏洞：反射跨站脚本
    已修补版本：3.6.0
    严重性评分：高

    9. Qtranslate Slug

    插件： Qtranslate Slug
    漏洞：CSRF 绕过
    已修补版本：无已知修复
    严重性评分：中等

    10.自定义css-js-php

    插件：自定义 css-js-php
    漏洞：CSRF 绕过
    已修补版本：无已知修复
    严重性评分：中等

    11. 多重角色

    插件：多个角色
    漏洞：CSRF 绕过
    已修补版本：无已知修复
    严重性评分：中等

    12. WooCommerce 的多供应商市场解决方案

    插件： WooCommerce 的多供应商市场解决方案
    漏洞：CSRF 绕过
    修补版本： 3.74
    严重性评分：中等

    13.JoomSport

    JoomSport 标志

    插件： JoomSport
    漏洞：未经身份验证的 PHP 对象注入
    已修补版本：5.1.8
    严重性评分：中等

    14.智能滑块3

    插件： Smart Slider 3
    漏洞：经过身份验证的存储跨站点脚本
    补丁版本：3.5.0.9
    严重性评分：中等

    15. 简易 Cookie 政策

    插件：简易 Cookie 政策
    漏洞：对存储的跨站点脚本的访问控制中断
    已修补版本：无已知修复
    严重性评分：高

    16. 维卡电商

    插件： Welcart电子商务
    漏洞：跨站脚本
    已修补版本：2.2.4
    严重性评分：中等

    17. WP 祈祷

    插件： WP祈祷
    漏洞：通过 CSRF 进行任意插件设置更新
    已修补版本：1.6.7
    严重性评分：中等

    WordPress 主题漏洞

    1. 詹娜

    主题：詹娜
    漏洞：反射跨站脚本
    已修补版本：5.4.4
    严重性评分：高

    2. 电机主题

    主题：汽车主题
    漏洞：未经身份验证的本地文件包含
    已修补版本：3.1.0
    严重性评分：高

    3. 房地产 7

    主题：房地产 7
    漏洞：3.1.1
    已修补版本：反射跨站点脚本
    严重性评分：高

    关于负责任披露的说明

    您可能想知道为什么要披露一个漏洞，如果它为黑客提供了攻击的漏洞。 好吧，安全研究人员发现漏洞并将其私下报告给软件开发人员是很常见的。

    在负责任的披露下，研究人员的初始报告是私下向拥有该软件的公司的开发人员提交的，但同意在补丁发布后发布完整的详细信息。 对于重大安全漏洞，可能会稍微延迟披露漏洞，让更多人有时间修补。

    安全研究人员可以为软件开发人员提供一个截止日期以响应报告或提供补丁。 如果没有达到这个期限，那么研究人员可能会公开披露该漏洞，迫使开发者发布补丁。

    公开披露漏洞并看似引入零日漏洞（一种没有补丁且正在野外利用的漏洞）可能会适得其反。 但是，这是研究人员必须向开发人员施压以修补漏洞的唯一手段。

    如果黑客发现了该漏洞，他们可以悄悄地使用漏洞利用程序并对最终用户（也就是您）造成损害，而软件开发人员仍然满足于不修补漏洞。 在披露漏洞方面，Google 的 Project Zero 也有类似的指导方针。 无论漏洞是否已修补，他们都会在 90 天后发布漏洞的完整详细信息。

    当 iThemes Security Pro 在您的网站上发现已知漏洞时收到电子邮件警报

    iThemes Security Pro 插件的站点扫描器是另一种保护您的 WordPress 网站免受所有软件黑客攻击的首要原因的方法：过时的插件和具有已知漏洞的主题。 站点扫描程序会检查您的站点是否存在已知漏洞，并在可用时自动应用补丁。

    如果 iThemes Security Pro 插件在您的站点上发现易受攻击的插件、主题或 WordPress 核心版本，它可以通过电子邮件向您发送站点扫描的结果。 站点扫描结果将显示在小部件中。

    如果站点扫描检测到漏洞，请单击漏洞链接以查看详细信息页面。

    启用站点扫描计划后，前往插件的通知中心设置。 在此屏幕上，滚动到站点扫描结果部分。

    单击该框以启用通知电子邮件，然后单击“保存设置”按钮。

    现在，在任何计划的站点扫描期间，如果 iThemes Security Pro 发现任何已知漏洞，您将收到一封电子邮件。 电子邮件看起来像这样。

    站点扫描结果

    获取 iThemes Security Pro 以保护您的网站

    iThemes Security Pro 是我们的 WordPress 安全插件，提供 50 多种方法来保护您的网站免受常见 WordPress 安全漏洞的侵害。 借助 WordPress、双因素身份验证、强力保护、强密码强制执行等，您可以为您的网站增加一层额外的安全性。

    获取 iThemes 安全专业版

    您是否错过了任何 6 月 WordPress 漏洞报告？

    赶上下面：

    • 2021 年 6 月，第 1 部分
    • 2021 年 6 月，第 2 部分