WordPress 漏洞報告：2021 年 4 月，第 2 部分

已發表: 2021-04-15

4 月的第二週披露了新的 WordPress 插件和主題漏洞。 這篇文章涵蓋了最近的 WordPress 插件、主題和核心漏洞，以及如果您在網站上運行易受攻擊的插件或主題之一時該怎麼做。

WordPress 漏洞綜述分為三個不同的類別：WordPress 核心、WordPress 插件和 WordPress 主題。

每個漏洞的嚴重性等級為低、中、高或嚴重。 嚴重性評級基於通用漏洞評分系統。

在 4 月，第 2 部分報告

    WordPress 核心漏洞

    好消息！ 本月沒有披露任何新的 WordPress 核心漏洞。

    WordPress 的最新版本目前是 5.7。 確保您的所有網站都運行最新版本的 WordPress 核心。

    WordPress 插件漏洞

    本節介紹 WordPress 插件中的漏洞，並提供有關是否更新或刪除易受攻擊的插件的說明。

    1. iThemes 安全免費和專業版

    漏洞：隱藏後端繞過
    已修補版本（iThemes 安全性） ：7.9.1
    已修補版本（iThemes Security Pro） ：6.8.4
    嚴重性：高– CVSS:3.1AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/

    iThemes Security 中的隱藏後端功能允許用戶通過更改其名稱並阻止訪問 wp-login.php 和 wp-admin 來隱藏登錄頁面。 在低於 7.9.1 的 iThemes Security 和低於 6.8.4 的 iThemes Security Pro 版本中發現了一個錯誤，使隱藏的登錄頁面可被發現，從而降低了該功能的有效性。

    更新到 iThemes Security 7.9.1 版和 iThemes Security Pro 6.8.4 版以接收隱藏支持繞過解決方法補丁。

    注意：您應該知道，無論我們如何嘗試改進隱藏後端功能都不是完全可靠的。 事實上，出於安全原因隱藏網站登錄頁面的有效性是我們的 #1 WordPress 安全神話。 為什麼？ 事實是，您無法完全隱藏網站的後端。 在打印登錄頁面的鏈接（如隱私請求確認或前端登錄表單）時，登錄頁面可能會被 WordPress 核心、插件或主題暴露。

    隱藏後端不應用作高級網站安全措施的替代品，例如強制執行強密碼和雙因素身份驗證。

    2. 簡單會員

    漏洞：經過身份驗證的 SQL 注入
    已修補版本：4.0.4
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L

    該漏洞已修補，因此您應該更新到版本 4.0.4。

    3. WPBakery 頁面生成器剪貼板

    漏洞：訂閱者+存儲的跨站腳本
    已修補版本：4.5.6
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

    漏洞：未經授權的任意許可選項更新
    已修補版本：4.5.8
    嚴重性：中– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

    該漏洞已修補，因此您應該更新到版本 4.5.8+

    4. OpenID Connect 通用客戶端

    漏洞：反射跨站腳本
    修補版本：3.8.2
    嚴重性：中– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

    該漏洞已修補，因此您應該更新到 3.8.2+ 版本。

    5. 阻止垃圾郵件發送者

    漏洞：反射跨站腳本
    補丁版本：2021.9
    嚴重性：中– CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

    該漏洞已修補，因此您應該更新到版本 2021.9。

    6. 圖像

    漏洞：未經身份驗證的任意文件上傳到 RCE
    已修補版本：無已知修復
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    7. WorkScout 核心插件

    漏洞：經過身份驗證的存儲型 XSS 和 XFS
    已修補版本：1.3.4
    嚴重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    該漏洞已修補，因此您應該更新到 1.3.4+ 版本。

    8. 拉森斯日曆

    漏洞：存儲的跨站腳本
    已修補版本：無已知修復
    嚴重性：高– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    9.聯繫表格檢查測試員

    漏洞：對跨站點腳本的訪問控制中斷
    已修補版本：無已知修復
    嚴重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    10. 商業目錄插件

    漏洞：任意列表導出
    修補版本：5.11.2
    嚴重性：高– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

    漏洞：任意付款歷史更新
    修補版本：5.11.2
    嚴重性：中– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

    漏洞：經過身份驗證的存儲跨站點腳本
    修補版本：5.11.2
    嚴重性：中– CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

    該漏洞已修補，因此您應該更新到版本 5.11.2+。

    11.活動橫幅

    漏洞：任意文件上傳到 RCE
    已修補版本：無已知修復
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    12. Classyfrieds

    漏洞：經過身份驗證的任意文件上傳到 RCE
    已修補版本：無已知修復
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    13. 大學出版社導入

    漏洞：任意文件上傳到 RCE
    已修補版本：無已知修復
    嚴重性：嚴重– CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

    此漏洞尚未修補。 卸載並刪除插件，直到發布補丁。

    WordPress 主題漏洞

    1. WorkScout 核心主題

    漏洞：經過身份驗證的存儲型 XSS 和 XFS
    修補版本：2.0.33
    嚴重性：高– CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

    該漏洞已修補，因此您應該更新到 2.0.33+ 版本。

    WordPress 安全插件可以幫助保護您的網站

    iThemes Security Pro 是我們的 WordPress 安全插件，提供 50 多種方法來保護您的網站免受常見 WordPress 安全漏洞的侵害。 借助 WordPress、雙因素身份驗證、強力保護、強密碼強制執行等，您可以為您的網站增加一層額外的安全性。

    獲取 iThemes 安全專業版

    WordPress 漏洞報告