تقرير ثغرات WordPress: يناير 2022 ، الجزء الثاني

نشرت: 2022-01-12

المكونات الإضافية والسمات المعرضة للخطر هي السبب الأول وراء اختراق مواقع WordPress. يغطي تقرير ثغرات WordPress الأسبوعي المدعوم من WPScan مكون WordPress الإضافي ، والموضوع ، ونقاط الضعف الأساسية ، وماذا تفعل إذا قمت بتشغيل أحد المكونات الإضافية أو السمات الضعيفة على موقع الويب الخاص بك.

سيكون لكل ثغرة تقييم درجة خطورة منخفضة أو متوسطة أو عالية أو حرجة . يعد الكشف عن الثغرات والإبلاغ عنها بشكل مسؤول جزءًا لا يتجزأ من الحفاظ على مجتمع WordPress آمنًا. الجديد في هذا التقرير: يتم الآن إدراج الثغرات الأمنية بالترتيب حسب عدد عمليات التثبيت النشطة ، بدلاً من تاريخ الكشف عنها.

يرجى مشاركة هذا المنشور مع أصدقائك للمساعدة في نشر الخبر وجعل WordPress أكثر أمانًا للجميع !

هل تريد تسليم هذا التقرير إلى بريدك الوارد كل أسبوع؟

اشترك في البريد الإلكتروني الأسبوعي

نقاط الضعف الأساسية في ووردبريس

تم إصدار أحدث إصدار من WordPress core في 6 يناير 2022 كإصدار أمني قصير الدورة. نظرًا لأن WordPress 5.8.3 إصدار أمني ، نوصيك بتحديث جميع مواقعك على الفور.

يمكنك التحديث إلى WordPress 5.8.3 عن طريق التنزيل من WordPress.org أو زيارة لوحة تحكم مسؤول WordPress> التحديثات والنقر فوق التحديث الآن .

إذا كانت لديك مواقع تم تمكين التحديثات التلقائية في الخلفية ، فمن المفترض أن يتم تحديثها بالفعل بنجاح.

ووردبريس كور

الثغرة الأمنية : حقن SQL عبر WP_Query
مصححة في الإصدار : 5.8.3
شرح: نظرًا لعدم وجود التطهير المناسب في WP_Meta_Query ، هناك احتمالية لوجود حقن SQL عمياء.

تم تصحيح الثغرة الأمنية ، لذا تأكد من تشغيل WordPress 5.8.3.

الثغرة الأمنية : المؤلف + XSS المخزنة عبر Post Slugs
مصححة في الإصدار : 5.8.3
شرح: يمكن للمستخدمين المصادقين ذوي الامتيازات المنخفضة (مثل المؤلف) في نواة WordPress تنفيذ JavaScript / تنفيذ هجوم XSS المخزن عبر الارتباطات الثابتة ، والتي يمكن أن تؤثر على المستخدمين ذوي الامتيازات العالية.

تم تصحيح الثغرة الأمنية ، لذا تأكد من تشغيل WordPress 5.8.3.

الضعف : حقن كائن إداري فائق في مواقع متعددة
مصححة في الإصدار : 5.8.3
شرح: في مواقع متعددة ، يمكن للمستخدمين الذين لديهم دور المشرف المتميز تجاوز التقوية الصريحة / الإضافية في ظل ظروف معينة من خلال إدخال العنصر.

تم تصحيح الثغرة الأمنية ، لذا تأكد من تشغيل WordPress 5.8.3.

الثغرة الأمنية : حقن SQL عبر WP_Meta_Query
مصححة في الإصدار : 5.8.3
شرح: نظرًا لعدم وجود التطهير المناسب في WP_Meta_Query ، هناك احتمالية لوجود حقن SQL عمياء.

تم تصحيح الثغرة الأمنية ، لذا تأكد من تشغيل WordPress 5.8.3.

نقاط الضعف في البرنامج المساعد WordPress

في هذا القسم ، تم الكشف عن أحدث ثغرات في البرنامج المساعد WordPress. تتضمن قائمة كل مكون إضافي نوع الثغرة الأمنية ، والتثبيتات النشطة ، ورقم الإصدار إذا تم تصحيحه ، وتقييم الخطورة.

1. دعم SVG

البرنامج المساعد: SVG Support
الثغرة الأمنية : المسؤول + البرمجة النصية عبر المواقع المخزنة
التثبيت النشط : 800000+
مصححة في الإصدار : 2.3.20
درجة الخطورة : منخفضة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 2.3.20.

2. تنظيف الأصول

البرنامج المساعد: Asset CleanUp
الضعف : انعكاس البرمجة النصية عبر المواقع عبر إجراء AJAX
التثبيت النشط : 100،000+
مصححة في الإصدار : 1.3.8.5
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 1.3.8.5.

البرنامج المساعد: Asset CleanUp
الضعف : انعكاس البرمجة عبر المواقع
التثبيت النشط : 100،000+
مصححة في الإصدار : 1.3.8.5
درجة الخطورة : متوسطة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 1.3.8.5.

3. الاشتراكات المدفوعة برو

البرنامج المساعد: الاشتراكات المدفوعة برو
الثغرة الأمنية : حقن SQL عمياء غير مصدق
التثبيت النشط : 100،000+
مصححة في الإصدار : 2.6.7
درجة الخطورة : حرجة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 2.6.7.

4. NextScripts: ملصق تلقائي للشبكات الاجتماعية

البرنامج المساعد: NextScripts: ملصق تلقائي للشبكات الاجتماعية
الضعف : حذف تعسفي بعد النشر عبر CSRF
التثبيت النشط : 90.000+
مصححة في الإصدار : 4.3.25
درجة الخطورة : متوسطة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 4.3.25.

البرنامج المساعد: NextScripts: ملصق تلقائي للشبكات الاجتماعية
الضعف : XSS المخزنة غير المصدق
التثبيت النشط : 90.000+
مصححة في الإصدار : 4.3.25
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 4.3.25.

5. البحث عن العاج

البرنامج المساعد: البحث العاجي
الثغرة الأمنية : مساهم + البرمجة النصية عبر المواقع المخزنة
التثبيت النشط : 80000+
مصححة في الإصدار : 5.4.1
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 5.4.1.

6. تغذية اجتماعية سهلة

البرنامج المساعد: Easy Social Feed
الضعف : انعكاس البرمجة النصية عبر المواقع (XSS)
التثبيت النشط : 70000+
مصححة في الإصدار : 6.2.7
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 6.2.7.

7. محرر أسلوب CSS المرئي

البرنامج المساعد: Visual CSS Style Editor
الضعف : انعكاس البرمجة عبر المواقع
التثبيت النشط : 50000+
مصححة في الإصدار : 7.5.4
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 7.5.4.

8. إدخالات نموذج الاتصال

البرنامج المساعد: إدخالات نموذج الاتصال
الضعف : برمجة نصية عبر المواقع مخزنة غير مصادق عليها
التثبيت النشط : 40000+
مصححة في الإصدار : 1.1.7
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 1.1.7.

9. مدير كرون المتقدم

البرنامج المساعد: Advanced Cron Manager
الضعف : المشترك + التعسفي الأحداث / الجداول إنشاء / الحذف
التثبيت النشط : 30000+
مصححة في الإصدار : 2.4.2
درجة الخطورة : متوسطة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 2.4.2.

10. WPLegalPages

البرنامج المساعد: WPLegalPages
الثغرة الأمنية : المشترك + تحديث الإعدادات التعسفية إلى XSS المخزن
التثبيت النشط : 20000+
مصححة في الإصدار : 2.7.1
درجة الخطورة : متوسطة

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 2.7.1.

11. إحصائيات زوار WP (حركة المرور في الوقت الفعلي)

البرنامج المساعد: WP Visitor Statistics (Real Time Traffic)
الضعف : المشترك + حقن SQL
التثبيت النشط : 20000+
مصححة في الإصدار : 4.8.1
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 4.8.

12. المجلدات الشريرة

البرنامج المساعد: مجلدات شريرة
الضعف : المشترك + حقن SQL
التثبيت النشط : 10000+
مصححة في الإصدار : 2.8.10
درجة الخطورة : مرتفع

تم تصحيح الثغرة الأمنية ، لذا يجب عليك التحديث إلى الإصدار 2.8.10.

13. SupportCandy

البرنامج المساعد: SupportCandy
الثغرة الأمنية : مساهم + البرمجة النصية عبر المواقع المخزنة
التثبيت النشط : 10000+
مصححة في الإصدار : 2.2.7
درجة الخطورة : متوسطة