WordPress 漏洞綜述：2019 年 9 月，第 2 部分

7. DELUCKS SEO

DELUCKS SEO 2.1.7 及以下版本存在未經身份驗證的選項更新漏洞。

你應該做什麼

8. 豐富的評論

Rich Reviews 1.7.4 及以下版本具有未經身份驗證的插件選項更新漏洞。

你應該做什麼

WordPress 主題

9. Selio – 房地產目錄

Selio – Real Estate Directory 1.1 及以下版本具有 SQL 注入和持久性跨站點腳本漏洞。

你應該做什麼

10. Nexos – 房地產

Nexos – Real Estate 1.1 及以下版本存在 SQL 注入和持久性跨站腳本漏洞。

你應該做什麼

如何積極應對 WordPress 主題和插件漏洞

運行過時的軟件是 WordPress 網站被黑的第一大原因。 擁有更新程序對於 WordPress 網站的安全性至關重要。 您應該每周至少登錄一次您的站點以執行更新。

自動更新可以提供幫助

對於不經常更改的 WordPress 網站，自動更新是一個不錯的選擇。 缺乏關注往往會使這些網站被忽視並容易受到攻擊。 即使採用推薦的安全設置，在您的站點上運行易受攻擊的軟件也會為攻擊者提供進入您站點的入口點。

使用 iThemes Security Pro 插件的版本管理功能，您可以啟用自動 WordPress 更新以確保您獲得最新的安全補丁。 這些設置可以通過選項自動更新到新版本或在站點軟件過時時提高用戶安全性，從而幫助保護您的站點。

版本管理更新選項

• WordPress 更新– 自動安裝最新的 WordPress 版本。
• 插件自動更新- 自動安裝最新的插件更新。 除非您每天積極維護此站點並在更新發布後不久手動安裝更新，否則應啟用此功能。
• 主題自動更新- 自動安裝最新的主題更新。 除非您的主題具有文件自定義，否則應啟用此功能。
• 對插件和主題更新的精細控制——您可能有想要手動更新的插件/主題，或者延遲更新直到版本有時間證明穩定。 您可以選擇自定義，以便將每個插件或主題分配為立即更新 ( Enable )、根本不自動更新 ( Disable ) 或延遲指定天數 ( Delay ) 進行更新。

加強和提醒關鍵問題

• 運行過時軟件時加強站點 - 當一個月未安裝可用更新時，自動為站點添加額外保護。 當一個月未安裝更新時，iThemes 安全插件將自動啟用更嚴格的安全性。 首先，它將強制所有未啟用雙因素的用戶在重新登錄之前提供發送到其電子郵件地址的登錄代碼。其次，它將禁用 WP 文件編輯器（以阻止人們編輯插件或主題代碼） , XML-RPC pingback 並阻止每個 XML-RPC 請求的多次身份驗證嘗試（這兩者都將使 XML-RPC 更強大地抵禦攻擊，而不必完全關閉它）。
• 掃描其他舊的 WordPress 站點- 這將檢查您的託管帳戶上是否有其他過時的 WordPress 安裝。 一個存在漏洞的過時 WordPress 站點可能允許攻擊者破壞同一託管帳戶上的所有其他站點。
• 發送電子郵件通知– 對於需要干預的問題，會向管理員級別用戶發送電子郵件。

來自網絡的漏洞

1.DoorDash

DoorDash 在一篇博文中披露，在 2019 年 5 月 4 日發生的一次洩露事件中，有 490 萬客戶、商家和員工的數據遭到洩露。

違規行為包括姓名、電子郵件地址、實際地址、電話號碼和散列密碼。 幸運的是，他們沒有以純文本形式存儲密碼，因此攻擊者很難破譯和使用密碼。

一些信用卡的最後 4 位數字被洩露，但沒有訪問完整的信用卡號碼或 CVV 號碼。

不幸的是，一些員工的駕駛執照號碼被包含在違規行為中。

如果您是 DoorDash 客戶，您可以在專用呼叫中心與他們聯繫以獲取支持，電話 855–646–4683

2.最後通行證

Chrome Project Zero 發現並披露了適用於 Chrome 和 Opera 的 LastPass 擴展程序中的一個漏洞。 該漏洞將允許惡意網站生成彈出窗口並繞過 do_popupregister() 以獲取使用 LastPass 登錄的最後一個帳戶的憑據。

沒有證據表明此漏洞曾被廣泛利用，LastPass 確實為其擴展程序的 Chrome 和 Opera 版本發布了補丁。

該漏洞確實突出了使用雙因素身份驗證的重要性，並使我對無密碼的未來更加興奮。

WordPress 安全插件可以幫助保護您的網站

iThemes Security Pro 是我們的 WordPress 安全插件，提供 30 多種方法來保護您的網站免受常見 WordPress 安全漏洞的侵害。 借助 WordPress 兩因素身份驗證、強力保護、強密碼強制執行等，您可以為您的網站增加一層額外的安全性。

獲取 iThemes 安全性