Informe de vulnerabilidad de WordPress: octubre de 2021, parte 3

Los complementos y temas vulnerables son la principal razón por la que los sitios web de WordPress son pirateados. El informe semanal de vulnerabilidades de WordPress impulsado por WPScan cubre las vulnerabilidades principales, el tema y los complementos de WordPress recientes, y qué hacer si ejecuta uno de los complementos o temas vulnerables en su sitio web.

Cada vulnerabilidad tendrá una clasificación de gravedad de Baja , Media , Alta o Crítica . La divulgación responsable y el informe de vulnerabilidades son una parte integral para mantener segura a la comunidad de WordPress.

Comparta esta publicación con sus amigos para ayudar a correr la voz y hacer que WordPress sea más seguro para todos.

La última versión del núcleo de WordPress es 5.8.1 y se lanzó como una versión de seguridad y mantenimiento. Como práctica recomendada, ¡siempre asegúrese de ejecutar la última versión del núcleo de WordPress!

En esta sección, se han revelado las últimas vulnerabilidades de los complementos de WordPress. Cada lista de complementos incluye el tipo de vulnerabilidad, el número de versión si está parcheado y la calificación de gravedad.

1. WPSschoolPress

Complemento : WPSchoolPress
Vulnerabilidad : secuencias de comandos almacenadas entre sitios múltiples Admin+
Parcheado en la versión : 2.1.17
Puntuación de gravedad : baja

Complemento : WPSchoolPress
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 2.1.10
Puntuación de gravedad : alta

Complemento : WPSchoolPress
Vulnerabilidad : Múltiples inyecciones SQL autenticadas
Parcheado en la versión : 2.1.10
Puntuación de gravedad : alta

2. YITH WooCommerce Multiproveedor

Complemento : Squaretype MYITH WooCommerce Multi Vendor
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 3.8.1
Puntuación de gravedad : alta

3. Print-O-Matic

Complemento: Print-O-Matic
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : 2.0.3
Puntuación de gravedad : baja

4. Registro de pasteles

Complemento: Registro de tarta
Vulnerabilidad : inyección SQL no autenticada
Parcheado en la versión : 3.7.1.6
Puntuación de gravedad : alta

Complemento: Registro de tarta
Vulnerabilidad : inyección SQL no autenticada
Parcheado en la versión : 3.7.1.6
Puntuación de gravedad : crítica

5. Afiliados de cupones para WooCommerce

Complemento: afiliados de cupones para WooCommerce
Vulnerabilidad : Eliminación de visitas de referencia arbitrarias a través de CSRF
Parcheado en la versión : 4.11.3.4
Puntuación de gravedad : media

6. Cargador MAZ

Complemento: Cargador MAZ
Vulnerabilidad : colaborador + inyección SQL
Parcheado en la versión : 1.3.3
Puntuación de gravedad : alta

7. Texto del pie de página de la tienda

Complemento: Texto de pie de página de escaparate
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : media

8. Herramienta de prueba Lite

Complemento: Quiz Tool Lite
Vulnerabilidad : secuencias de comandos almacenadas entre sitios múltiples Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

9. Tarjetas mágicas

Complemento : Qwizcards
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : 3.62
Puntuación de gravedad : baja

10. Loco Traducir

Complemento: Traducir Loco
Vulnerabilidad : inyección de código PHP autenticado
Parcheado en la versión : 2.5.4
Puntuación de gravedad : alta

11. iPanorama 360 Creador de recorridos virtuales de WordPress

Complemento : iPanorama 360 WordPress Virtual Tour Builder
Vulnerabilidad : CSRF a secuencias de comandos entre sitios almacenadas
Parcheado en la versión : 1.6.22
Puntuación de gravedad : alta

12. Visión interactiva para WordPress

Complemento: Vision Interactive para WordPress
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : sin solución conocida
Puntuación de gravedad : alta

13. Creador de imágenes interactivo de ImageLinks para WordPress

Complemento : ImageLinks Interactive Image Builder para WordPress
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : sin solución conocida
Puntuación de gravedad : alta

14. Complemento de WordPress Easy Custom Js y Css

Complemento: WordPress Easy Custom Js y Css Plugin
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : sin solución conocida
Puntuación de gravedad : alta

15. Flipbook de iPages para WordPress

Complemento : iPages Flipbook para WordPress
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 1.4.3
Puntuación de gravedad : alta

16. 404 a 301

Complemento: 404 a 301
Vulnerabilidad : eliminación de registros a través de CSRF
Parcheado en la versión : 3.0.9
Puntuación de gravedad : media

17. Posterior al espirador

Complemento: Post Expirator
Vulnerabilidad : Colaborador + Calendario de publicación arbitraria
Parcheado en la versión : 2.6.0
Puntuación de gravedad : alta

18. Imágenes de encabezado de WP

Complemento: imágenes de encabezado WP
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 2.0.1
Puntuación de gravedad : alta

19. Suscripciones y Membresías para PayPal

Complemento: suscripciones y membresías para PayPal
Vulnerabilidad : secuencias de comandos entre sitios reflejadas a través del parámetro de página
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : alta

20. Acepta donaciones con PayPal

Complemento: aceptar donaciones con PayPal
Vulnerabilidad : secuencias de comandos entre sitios reflejadas a través del parámetro de página
Parcheado en la versión : 1.3.1
Puntuación de gravedad : alta

21. Eventos de PayPal

Complemento: Eventos de PayPal
Vulnerabilidad : secuencias de comandos entre sitios reflejadas a través del parámetro de página
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : alta

22. Administrador de código de pie de página de encabezado

Complemento: Administrador de código de pie de página de encabezado
Vulnerabilidad : Admin+ Inyecciones SQL
Parcheado en la versión : 1.1.14
Puntuación de gravedad : media

23. wp Discuz

Complemento : wpDiscuz
Vulnerabilidad : Adición/Edición/Eliminación de comentarios arbitrarios a través de CSRF
Parcheado en la versión : 7.3.4
Puntuación de gravedad : media

24. Impresión 3D Lite

Complemento: 3D Print Lite
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 1.9.1.6
Puntuación de gravedad : alta

25. Foro de Asgarós

Complemento : Foro de Asgaros
Vulnerabilidad : eliminación de redirección a través de CSRF
Parcheado en la versión : 1.15.13
Puntuación de gravedad : alta

26. Redirección WP SEO 301

Complemento: WP SEO Redirect 301
Vulnerabilidad : eliminación de redirección a través de CSRF
Parcheado en la versión : 2.3.2
Puntuación de gravedad : media

27. WCFM – Administrador de interfaz para WooCommerce

Complemento : WCFM – Administrador de interfaz para WooCommerce
Vulnerabilidad : Cliente/Suscriptor+ Inyección SQL
Parcheado en la versión : 6.5.12
Puntuación de gravedad : alta

28. Gerente de Afiliados

Complemento: Administrador de afiliados
Vulnerabilidad : Admin+ Inyecciones SQL
Parcheado en la versión : 2.8.7
Puntuación de gravedad : media

29. Publicaciones similares

Complemento: publicaciones similares
Vulnerabilidad : Admin+ Ejecución de código PHP arbitrario
Parcheado en la versión : 3.1.6
Puntuación de gravedad : alta

30. Tabla de productos de WooCommerce

Complemento: Tabla de productos de WooCommerce
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 1.0.4
Puntuación de gravedad : media

31. Administrador de descuentos para productos

Complemento: Administrador de descuentos para productos
Vulnerabilidad : secuencias de comandos entre sitios reflejadas
Parcheado en la versión : 3.4.5
Puntuación de gravedad : alta

32. Creador de testimonios

Complemento: generador de testimonios
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : 1.6.0
Puntuación de gravedad : baja

33. Brillante

Complemento: Brizy
Vulnerabilidad : autorización incorrecta para publicar la modificación
Parcheado en la versión : 2.3.12
Puntuación de gravedad : alta

Complemento: Brizy
Vulnerabilidad : secuencias de comandos entre sitios almacenadas autenticadas
Parcheado en la versión : 2.3.12
Puntuación de gravedad : media

Complemento: Brizy
Vulnerabilidad : carga de archivos autenticados y recorrido de ruta
Parcheado en la versión : 2.3.12
Puntuación de gravedad : alta

34. Categorías coloridas

Complemento: Categorías coloridas
Vulnerabilidad : actualización de colores arbitrarios a través de CSRF
Parcheado en la versión : 2.0.15
Puntuación de gravedad : media

35. Caché más rápido de WP

Complemento: WP Fastest Cache
Vulnerabilidad : suscriptor + inyección SQL
Versión parcheada: 0.9.5
Puntuación de gravedad : alta

Complemento: caché más rápido de WP
Vulnerabilidad : CSRF a secuencias de comandos entre sitios almacenadas
Versión parcheada: 0.9.5
Puntuación de gravedad : alta

36. Gerente Comercial

Complemento: Administrador comercial
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida
Puntuación de gravedad : baja

37. Bolsa de Trabajo Vainilla

Complemento: Bolsa de trabajo Vanila
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

38. Listado de trabajos de WpGenius

Complemento : Lista de trabajos de WpGenius
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

39. Administrador de trabajos

Complemento: Administrador de trabajos
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

40. Portal de empleo

Complemento: Portal de empleo
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

41. Póster cruzado de MyBB

Complemento: MyBB Cross-Poster
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

42. Avisos de administración de KJM

Complemento : Avisos de administración de KJM
Vulnerabilidad : autorización incorrecta para publicar la modificación
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

43. HAL

Complemento: HAL
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : 2.2
Puntuación de gravedad : baja

44. Cuadro biográfico del autor

Complemento: autor Bio Box
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : 3.4.0
Puntuación de gravedad : baja

45. WordPress + Microsoft Office 365

Complemento: WordPress + Microsoft Office 365
Vulnerabilidad : secuencias de comandos entre sitios almacenadas no autenticadas
Parcheado en la versión : 15.4
Puntuación de gravedad : crítica

46. ​​Encuesta YOP

Complemento : Encuesta YOP
Vulnerabilidad : Author+ Stored Cross-Site Scripting a través del módulo de opciones
Parcheado en la versión : 6.3.1
Puntuación de gravedad : media

Complemento : Encuesta YOP
Vulnerabilidad : Author+ Stored Cross-Site Scripting a través del módulo de vista previa
Parcheado en la versión : 6.3.1
Puntuación de gravedad : media

47. Indeed Job Importer

Complemento: Indeed Job Importer
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : alta

48. MPL-Publisher: publique usted mismo su libro y libro electrónico

Complemento: MPL-Publisher: publique usted mismo su libro y libro electrónico
Vulnerabilidad : secuencias de comandos entre sitios almacenadas por Admin+
Parcheado en la versión : sin solución conocida
Puntuación de gravedad : baja

49. Junta de TrabajoWP

Complemento : JobBoardWP
Vulnerabilidad : autorización incorrecta para publicar la modificación
Parcheado en la versión : sin solución conocida: complemento cerrado
Puntuación de gravedad : baja

Vulnerabilidades del tema de WordPress

1. Blog moderno de Squaretype

Tema: Squaretype Blog moderno
Vulnerabilidad : Divulgación de publicaciones privadas/programadas no autenticadas
Parcheado en la versión : 3.0.4
Puntuación de gravedad : media

Como puede ver en este informe, cada semana se revelan muchas vulnerabilidades de plugins y temas de WordPress. Sabemos que puede ser difícil mantenerse al tanto de cada divulgación de vulnerabilidad informada, por lo que el complemento iThemes Security Pro facilita asegurarse de que su sitio no esté ejecutando un tema, complemento o versión principal de WordPress con una vulnerabilidad conocida.

Obtenga iThemes Security Pro con monitoreo de sitios web 24/7

iThemes Security Pro, nuestro complemento de seguridad de WordPress, ofrece más de 50 formas de asegurar y proteger su sitio web de las vulnerabilidades de seguridad comunes de WordPress. Con WordPress, la autenticación de dos factores, la protección de fuerza bruta, la aplicación segura de contraseñas y más, puede agregar capas adicionales de seguridad a su sitio web.

Obtenga iThemes Security Pro