WordPress-Schwachstellenbericht: Dezember 2021, Teil 1

Anfällige Plugins und Themes sind der häufigste Grund, warum WordPress-Websites gehackt werden. Der wöchentliche WordPress-Schwachstellenbericht powered by WPScan behandelt aktuelle Schwachstellen in WordPress-Plugins, -Themen und -Kernen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Designs auf Ihrer Website ausführen.

Jede Schwachstelle hat eine Schweregradbewertung von Niedrig , Mittel , Hoch oder Kritisch . Die verantwortungsbewusste Offenlegung und Meldung von Schwachstellen ist ein wesentlicher Bestandteil der Sicherheit der WordPress-Community.

Bitte teilen Sie diesen Beitrag mit Ihren Freunden, um die Nachricht zu verbreiten und WordPress für alle sicherer zu machen.

In einer am 21. November 2021 veröffentlichten Sicherheitsoffenlegung sagt GoDaddy, dass bis zu 1,2 Millionen aktive und inaktive Kunden aufgedeckt wurden, nachdem Hacker Zugriff auf seine verwaltete WordPress-Hosting-Plattform erhalten hatten.

Wir haben einen Beitrag geschrieben, um einige Details des jüngsten GoDaddy-Hacks zu entpacken, wie er sich auf Kunden auswirkt, und unsere Empfehlungen, was zu tun ist, wenn Sie ein WordPress-Hosting-Kunde bei GoDaddy sind.

Die neueste Version des WordPress-Kerns ist 5.8.2. Als bewährte Methode sollten Sie immer die neueste Version des WordPress-Kerns ausführen!

In diesem Abschnitt wurden die neuesten Sicherheitslücken in WordPress-Plugins offengelegt. Jede Plugin-Auflistung enthält die Art der Schwachstelle, die Versionsnummer, falls gepatcht, und die Bewertung des Schweregrads.

1. Logokarussell

Plugin: Logokarussell
Schwachstelle : Contributor+ Stored Cross-Site Scripting
Gepatcht in Version : 3.4.2
Schweregrad : Mittel

Plugin: Logokarussell
Schwachstelle : Unbefugter privater Post-Zugriff
Gepatcht in Version : 3.4.2
Schweregrad : Mittel

2. Ni WooCommerce Custom Order Status

Plugin: Ni WooCommerce Custom Order Status
Schwachstelle : Subscriber+ SQL Injection
Gepatcht in Version : 1.9.7
Schweregrad : Hoch

3. WCFM

Plugin: WCFM
Schwachstelle : Nicht authentifizierte SQL-Injection
Gepatcht in Version : 3.4.12
Schweregrad : Hoch

4. Everest-Formulare

Plugin: Everest-Formulare
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 1.8.0
Schweregrad : Mittel

5. WP-Besucherstatistik (Echtzeitverkehr)

Plugin: WP-Besucherstatistik (Echtzeitverkehr)
Schwachstelle : Subscriber+ SQL Injection
Gepatcht in Version : 4.8
Schweregrad : Hoch

6. Kudos-Spenden

Plugin: Kudos-Spenden
Schwachstelle : Willkürliche Löschung von Elementen über CSRF
Gepatcht in Version : 3.1.2
Schweregrad : Hoch

7. Eisgramm

Plugin: Icegram
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 2.0.5
Schweregrad : Mittel

8. Blog2Social

Plugin: Blog2Social
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 6.8.7
Schweregrad : Hoch

9. Bezahlte Mitgliedschaften Pro

Plugin: Bezahlte Mitgliedschaften Pro
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 2.6.6
Schweregrad : Hoch

10. WPFront-Benutzerrollen-Editor

Plugin: WPFront-Benutzerrollen-Editor
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 3.2.1.11184
Schweregrad : Mittel

11. Ticker

Plugin: Tickera
Schwachstelle : Nicht authentifiziertes gespeichertes Cross-Site-Scripting
Gepatcht in Version : 3.4.8.3
Schweregrad : Hoch

12. WP-Guppy

Plugin: WP Guppy
Schwachstelle : Offenlegung sensibler Informationen
Gepatcht in Version : 1.3
Schweregrad : Hoch

13. Einfache JWT-Anmeldung

Plugin: Einfache JWT-Anmeldung
Schwachstelle : Unsichere Passworterstellung
Gepatcht in Version : 3.3.0
Schweregrad : Niedrig

14. meinCRED

Plugin: myCRED
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 1.7.8
Schweregrad : Hoch

15. Verstecke mein WP

Plugin: Hide My WP
Schwachstelle : Nicht authentifizierte Plugin-Deaktivierung
Gepatcht in Version : 6.2.4
Schweregrad : Mittel

Plugin: Hide My WP
Schwachstelle : Nicht authentifizierte SQL-Injection
Gepatcht in Version : 6.2.4
Schweregrad : Hoch

16. Fantastischer Support – WordPress HelpDesk & Support-Plugin

Plugin: Awesome Support – WordPress HelpDesk & Support-Plugin
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 6.0.7
Schweregrad : Hoch

17. Post-Metadaten anzeigen

Plugin: Post-Metadaten anzeigen
Schwachstelle : Contributor+ Stored Cross-Site Scripting
Gepatcht in Version : 1.5.0
Schweregrad : Mittel

18. Schwebendes Social-Media-Symbol

Plugin: Schwebendes Social-Media-Symbol
Schwachstelle : Admin+ Stored Cross-Site Scripting
Gepatcht in Version : Keine bekannte Lösung – Plugin geschlossen
Schweregrad : Niedrig

19. Gwolle-Gästebuch

Plugin: Gwolle-Gästebuch
Sicherheitslücke : Reflected Cross-Site Scripting
Gepatcht in Version : 4.2.0
Schweregrad : Mittel

Wie Sie diesem Bericht entnehmen können, werden jede Woche viele neue Sicherheitslücken in WordPress-Plugins und -Themen offengelegt. Wir wissen, dass es schwierig sein kann, den Überblick über jede gemeldete Schwachstellenoffenlegung zu behalten, daher macht es das iThemes Security Pro Plugin einfach sicherzustellen, dass auf Ihrer Website kein Theme, Plugin oder keine WordPress-Kernversion mit einer bekannten Schwachstelle ausgeführt wird.

Holen Sie sich iThemes Security Pro mit Website-Sicherheitsüberwachung rund um die Uhr

iThemes Security Pro, unser WordPress-Sicherheits-Plugin, bietet mehr als 50 Möglichkeiten zum Sichern und Schützen Ihrer Website vor gängigen WordPress-Sicherheitslücken. Mit WordPress, Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, starker Passwortdurchsetzung und mehr können Sie Ihrer Website zusätzliche Sicherheitsebenen hinzufügen.

Holen Sie sich iThemes Security Pro