Informe de vulnerabilidad de WordPress: enero de 2022, parte 2

Publicado: 2022-01-12

Los complementos y temas vulnerables son la principal razón por la que los sitios web de WordPress son pirateados. El informe semanal de vulnerabilidades de WordPress impulsado por WPScan cubre las vulnerabilidades principales, el tema y los complementos de WordPress recientes, y qué hacer si ejecuta uno de los complementos o temas vulnerables en su sitio web.

Cada vulnerabilidad tendrá una clasificación de gravedad de Baja , Media , Alta o Crítica . La divulgación responsable y el informe de vulnerabilidades son una parte integral para mantener segura a la comunidad de WordPress. Nuevo en este informe: las vulnerabilidades ahora se enumeran en orden por el número de instalaciones activas, en lugar de la fecha de divulgación.

¡ Comparta esta publicación con sus amigos para ayudar a correr la voz y hacer que WordPress sea más seguro para todos !

¿Quiere recibir este informe en su bandeja de entrada cada semana?

Suscríbete al correo electrónico semanal

Vulnerabilidades del núcleo de WordPress

La última versión del núcleo de WordPress se lanzó el 6 de enero de 2022 como un lanzamiento de seguridad de ciclo corto. Debido a que WordPress 5.8.3 es una versión de seguridad, le recomendamos que actualice todos sus sitios de inmediato.

Puede actualizar a WordPress 5.8.3 descargándolo desde WordPress.org o visitando su panel de administración de WordPress > Actualizaciones y haciendo clic en Actualizar ahora .

Si tiene sitios que han habilitado actualizaciones automáticas en segundo plano, ya deberían haberse actualizado correctamente.

Núcleo de WordPress

Vulnerabilidad : Inyección SQL a través de WP_Query
Parcheado en la versión : 5.8.3
Explicación: debido a la falta de desinfección adecuada en WP_Meta_Query, existe la posibilidad de una inyección SQL ciega.

La vulnerabilidad ha sido parcheada, así que asegúrese de estar ejecutando WordPress 5.8.3.

Vulnerabilidad : Author+ Stored XSS via Post Slugs
Parcheado en la versión : 5.8.3
Explicación: Los usuarios autenticados con pocos privilegios (como el autor) en el núcleo de WordPress pueden ejecutar JavaScript/realizar ataques XSS almacenados a través de slugs posteriores, lo que puede afectar a los usuarios con muchos privilegios.

La vulnerabilidad ha sido parcheada, así que asegúrese de estar ejecutando WordPress 5.8.3.

Vulnerabilidad : Inyección de objeto Super Admin en multisitios
Parcheado en la versión : 5.8.3
Explicación: en un multisitio, los usuarios con función de superadministrador pueden omitir el endurecimiento explícito/adicional en determinadas condiciones a través de la inserción de objetos.

La vulnerabilidad ha sido parcheada, así que asegúrese de estar ejecutando WordPress 5.8.3.

Vulnerabilidad : Inyección SQL a través de WP_Meta_Query
Parcheado en la versión : 5.8.3
Explicación: debido a la falta de desinfección adecuada en WP_Meta_Query, existe la posibilidad de una inyección SQL ciega.

La vulnerabilidad ha sido parcheada, así que asegúrese de estar ejecutando WordPress 5.8.3.

Vulnerabilidades del complemento de WordPress

En esta sección, se han revelado las últimas vulnerabilidades de los complementos de WordPress. Cada lista de complementos incluye el tipo de vulnerabilidad, las instalaciones activas, el número de versión si está parcheado y la clasificación de gravedad.

1. Soporte SVG

Complemento: Soporte SVG
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Instalación activa : 800,000+
Parcheado en la versión : 2.3.20
Puntuación de gravedad : baja

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 2.3.20.

2. Limpieza de activos

Complemento: limpieza de activos
Vulnerabilidad : secuencias de comandos entre sitios reflejadas a través de la acción AJAX
Instalación activa : 100,000+
Parcheado en la versión : 1.3.8.5
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 1.3.8.5.

Complemento: limpieza de activos
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Instalación activa : 100,000+
Parcheado en la versión : 1.3.8.5
Puntuación de gravedad : media

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 1.3.8.5.

3. Membresías pagadas Pro

Complemento: Membresías pagadas Pro
Vulnerabilidad : Inyección SQL ciega no autenticada
Instalación activa : 100,000+
Parcheado en la versión : 2.6.7
Puntuación de gravedad : crítica

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 2.6.7.

4. NextScripts: Auto-Póster en Redes Sociales

Complemento : NextScripts: Auto-Poster de Redes Sociales
Vulnerabilidad : eliminación arbitraria de publicaciones a través de CSRF
Instalación activa : 90,000+
Parcheado en la versión : 4.3.25
Puntuación de gravedad : media

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 4.3.25.

Complemento : NextScripts: Auto-Poster de Redes Sociales
Vulnerabilidad : XSS almacenado no autenticado
Instalación activa : 90,000+
Parcheado en la versión : 4.3.25
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 4.3.25.

5. Búsqueda de marfil

Complemento: búsqueda de marfil
Vulnerabilidad : secuencias de comandos almacenadas entre sitios de Contributor+
Instalación activa : 80,000+
Parcheado en la versión : 5.4.1
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 5.4.1.

6. Alimentación social fácil

Complemento: Easy Social Feed
Vulnerabilidad : Cross-Site Scripting reflejado (XSS)
Instalación activa : 70,000+
Parcheado en la versión : 6.2.7
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 6.2.7.

7. Editor visual de estilos CSS

Complemento: Editor de estilo Visual CSS
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Instalación activa : 50,000+
Parcheado en la versión : 7.5.4
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 7.5.4.

8. Entradas de formulario de contacto

Complemento: entradas de formulario de contacto
Vulnerabilidad : secuencias de comandos entre sitios almacenadas no autenticadas
Instalación activa : 40,000+
Parcheado en la versión : 1.1.7
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 1.1.7.

9. Administrador de cron avanzado

Complemento: Administrador de cron avanzado
Vulnerabilidad : suscriptor + eventos arbitrarios/creación/eliminación de horarios
Instalación activa : 30,000+
Parcheado en la versión : 2.4.2
Puntuación de gravedad : media

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 2.4.2.

10. WPLegalPages

Complemento : WPLegalPages
Vulnerabilidad : suscriptor + actualización de configuración arbitraria para XSS almacenado
Instalación activa : más de 20 000
Parcheado en la versión : 2.7.1
Puntuación de gravedad : media

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 2.7.1.

11. Estadísticas de visitantes de WP (tráfico en tiempo real)

Complemento: Estadísticas de visitantes de WP (tráfico en tiempo real)
Vulnerabilidad : suscriptor + inyección SQL
Instalación activa : más de 20 000
Parcheado en la versión : 4.8
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 4.8.

12. Carpetas malvadas

Complemento: Carpetas malvadas
Vulnerabilidad : suscriptor + inyección SQL
Instalación activa : 10,000+
Parcheado en la versión : 2.8.10
Puntuación de gravedad : alta

La vulnerabilidad está parcheada, por lo que deberías actualizar a la versión 2.8.10.

13. Caramelo de apoyo

Complemento: SupportCandy
Vulnerabilidad : secuencias de comandos almacenadas entre sitios de Contributor+
Instalación activa : 10,000+
Parcheado en la versión : 2.2.7
Puntuación de gravedad : media