WordPress-Schwachstellenbericht: Januar 2022, Teil 2

Veröffentlicht: 2022-01-12

Anfällige Plugins und Themes sind der häufigste Grund, warum WordPress-Websites gehackt werden. Der wöchentliche WordPress-Schwachstellenbericht powered by WPScan behandelt aktuelle Schwachstellen in WordPress-Plugins, -Themen und -Kernen und was zu tun ist, wenn Sie eines der anfälligen Plugins oder Designs auf Ihrer Website ausführen.

Jede Schwachstelle hat eine Schweregradbewertung von Niedrig , Mittel , Hoch oder Kritisch . Die verantwortungsbewusste Offenlegung und Meldung von Schwachstellen ist ein wesentlicher Bestandteil der Sicherheit der WordPress-Community. Neu in diesem Bericht: Schwachstellen werden jetzt nach der Anzahl aktiver Installationen und nicht mehr nach dem Datum der Offenlegung aufgelistet.

Bitte teilen Sie diesen Beitrag mit Ihren Freunden, um die Nachricht zu verbreiten und WordPress für alle sicherer zu machen !

Möchten Sie, dass dieser Bericht jede Woche in Ihren Posteingang geliefert wird?

Abonnieren Sie die wöchentliche E-Mail

WordPress-Core-Schwachstellen

Die neueste Version des WordPress-Kerns wurde am 6. Januar 2022 als Kurzzyklus-Sicherheitsversion veröffentlicht. Da WordPress 5.8.3 eine Sicherheitsversion ist, empfehlen wir Ihnen, alle Ihre Websites sofort zu aktualisieren.

Du kannst auf WordPress 5.8.3 aktualisieren, indem du es von WordPress.org herunterlädst oder dein WordPress-Admin-Dashboard > Updates aufrufst und auf Jetzt aktualisieren klickst.

Wenn Sie Websites haben, die automatische Hintergrundaktualisierungen aktiviert haben, sollten diese bereits erfolgreich aktualisiert worden sein.

WordPress-Kern

Schwachstelle : SQL-Injection über WP_Query
Gepatcht in Version : 5.8.3
Erläuterung: Aufgrund des Mangels an angemessener Bereinigung in WP_Meta_Query besteht die Möglichkeit einer blinden SQL-Injektion.

Die Schwachstelle wurde gepatcht, also stelle sicher, dass du WordPress 5.8.3 verwendest.

Schwachstelle : Autor+ Gespeichertes XSS über Post Slugs
Gepatcht in Version : 5.8.3
Erläuterung: Authentifizierte Benutzer mit geringen Berechtigungen (wie Autor) im WordPress-Kern können JavaScript ausführen/gespeicherte XSS-Angriffe über Post-Slugs durchführen, was sich auf Benutzer mit hohen Berechtigungen auswirken kann.

Die Schwachstelle wurde gepatcht, also stelle sicher, dass du WordPress 5.8.3 verwendest.

Schwachstelle : Super Admin Object Injection in Multisites
Gepatcht in Version : 5.8.3
Erläuterung: Auf einer Multisite können Benutzer mit der Super-Admin-Rolle die explizite/zusätzliche Härtung unter bestimmten Bedingungen durch Objektinjektion umgehen.

Die Schwachstelle wurde gepatcht, also stelle sicher, dass du WordPress 5.8.3 verwendest.

Schwachstelle : SQL-Injection über WP_Meta_Query
Gepatcht in Version : 5.8.3
Erläuterung: Aufgrund des Mangels an angemessener Bereinigung in WP_Meta_Query besteht die Möglichkeit einer blinden SQL-Injektion.

Die Schwachstelle wurde gepatcht, also stelle sicher, dass du WordPress 5.8.3 verwendest.

Sicherheitslücken in WordPress-Plugins

In diesem Abschnitt wurden die neuesten Sicherheitslücken in WordPress-Plugins offengelegt. Jede Plugin-Auflistung enthält die Art der Schwachstelle, die aktiven Installationen, die Versionsnummer, falls gepatcht, und die Bewertung des Schweregrads.

1. SVG-Unterstützung

Plugin: SVG-Unterstützung
Schwachstelle : Admin+ Stored Cross-Site Scripting
Aktive Installation : 800.000+
Gepatcht in Version : 2.3.20
Schweregrad : Niedrig

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 2.3.20 updaten.

2. Bereinigung von Assets

Plugin: Asset CleanUp
Schwachstelle : Reflected Cross-Site Scripting via AJAX Action
Aktive Installation : 100.000+
Gepatcht in Version : 1.3.8.5
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 1.3.8.5 aktualisieren.

Plugin: Asset CleanUp
Sicherheitslücke : Reflected Cross-Site Scripting
Aktive Installation : 100.000+
Gepatcht in Version : 1.3.8.5
Schweregrad : Mittel

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 1.3.8.5 aktualisieren.

3. Bezahlte Mitgliedschaften Pro

Plugin: Bezahlte Mitgliedschaften Pro
Schwachstelle : Nicht authentifizierte blinde SQL-Injektion
Aktive Installation : 100.000+
Gepatcht in Version : 2.6.7
Schweregrad : Kritisch

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 2.6.7 updaten.

4. NextScripts: Auto-Poster für soziale Netzwerke

Plugin: NextScripts: Auto-Poster für soziale Netzwerke
Schwachstelle : Willkürliche Post-Löschung über CSRF
Aktive Installation : 90.000+
Gepatcht in Version : 4.3.25
Schweregrad : Mittel

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 4.3.25 aktualisieren.

Plugin: NextScripts: Auto-Poster für soziale Netzwerke
Schwachstelle : Nicht authentifiziertes gespeichertes XSS
Aktive Installation : 90.000+
Gepatcht in Version : 4.3.25
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 4.3.25 aktualisieren.

5. Elfenbeinsuche

Plugin: Elfenbeinsuche
Schwachstelle : Contributor+ Stored Cross-Site Scripting
Aktive Installation : 80.000+
Gepatcht in Version : 5.4.1
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 5.4.1 updaten.

6. Einfacher sozialer Feed

Plugin: Easy Social Feed
Sicherheitslücke : Reflected Cross-Site Scripting (XSS)
Aktive Installation : 70.000+
Gepatcht in Version : 6.2.7
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 6.2.7 aktualisieren.

7. Visueller CSS-Stil-Editor

Plugin: Visueller CSS-Stil-Editor
Sicherheitslücke : Reflected Cross-Site Scripting
Aktive Installation : 50.000+
Gepatcht in Version : 7.5.4
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 7.5.4 aktualisieren.

8. Kontaktformulareinträge

Plugin: Kontaktformulareinträge
Schwachstelle : Nicht authentifiziertes gespeichertes Cross-Site-Scripting
Aktive Installation : 40.000+
Gepatcht in Version : 1.1.7
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 1.1.7 aktualisieren.

9. Erweiterter Cron-Manager

Plugin: Erweiterter Cron-Manager
Schwachstelle : Abonnent+ willkürliche Ereignisse/Zeitpläne erstellen/löschen
Aktive Installation : 30.000+
Gepatcht in Version : 2.4.2
Schweregrad : Mittel

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 2.4.2 updaten.

10. WPLegalPages

Plugin: WPLegalPages
Schwachstelle : Aktualisierung willkürlicher Abonnenten-Einstellungen auf gespeichertes XSS
Aktive Installation : 20.000+
Gepatcht in Version : 2.7.1
Schweregrad : Mittel

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 2.7.1 updaten.

11. WP-Besucherstatistik (Echtzeitverkehr)

Plugin: WP-Besucherstatistik (Echtzeitverkehr)
Schwachstelle : Subscriber+ SQL Injection
Aktive Installation : 20.000+
Gepatcht in Version : 4.8
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, Sie sollten also auf Version 4.8 updaten.

12. Böse Ordner

Plugin: Böse Ordner
Schwachstelle : Subscriber+ SQL Injection
Aktive Installation : 10.000+
Gepatcht in Version : 2.8.10
Schweregrad : Hoch

Die Schwachstelle ist gepatcht, daher sollten Sie auf Version 2.8.10 aktualisieren.

13. SupportCandy

Plugin: SupportCandy
Schwachstelle : Contributor+ Stored Cross-Site Scripting
Aktive Installation : 10.000+
Gepatcht in Version : 2.2.7
Schweregrad : Mittel