Rapport de vulnérabilité WordPress : novembre 2021, partie 4

Les plugins et les thèmes vulnérables sont la première raison pour laquelle les sites Web WordPress sont piratés. Le rapport hebdomadaire sur les vulnérabilités de WordPress fourni par WPScan couvre les vulnérabilités récentes des plugins, thèmes et noyaux WordPress, et ce qu'il faut faire si vous exécutez l'un des plugins ou thèmes vulnérables sur votre site Web.

Chaque vulnérabilité aura un indice de gravité Faible , Moyen , Élevé ou Critique . La divulgation et le signalement responsables des vulnérabilités font partie intégrante de la sécurité de la communauté WordPress.

Veuillez partager ce message avec vos amis pour aider à faire passer le mot et rendre WordPress plus sûr pour tout le monde.

Dans une divulgation de sécurité publiée le 21 novembre 2021, GoDaddy indique que jusqu'à 1,2 million de clients actifs et inactifs ont été exposés après que des pirates ont eu accès à sa plate-forme d'hébergement WordPress gérée.

Nous avons écrit un article pour déballer quelques-uns des détails du récent piratage de GoDaddy, comment il affecte les clients et nos recommandations sur ce qu'il faut faire si vous êtes un client d'hébergement WordPress chez GoDaddy.

La dernière version du noyau WordPress est la 5.8.2. Comme bonne pratique, assurez-vous toujours d'exécuter la dernière version du noyau WordPress !

Dans cette section, les dernières vulnérabilités du plugin WordPress ont été divulguées. Chaque liste de plug-ins comprend le type de vulnérabilité, le numéro de version si corrigé et l'indice de gravité.

1. Pixel Chat Lite

Plug-in : Pixel Cat Lite
Vulnérabilité : Admin+ Stored Cross-Site Scripting
Patché dans la version : 2.6.3
Niveau de gravité : Faible

Plug-in : Pixel Cat Lite
Vulnérabilité : CSRF vers Stored Cross-Site Scripting
Patché dans la version : 2.6.2
Niveau de gravité : Élevé

2. Galerie tout-en-un

Plugin : Galerie tout-en-un
Vulnérabilité : Admin+ Local File Inclusion
Patché dans la version : 2.5.0
Niveau de gravité : Faible

3. StopBadBots

Plugin : StopBadBots
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 6.67
Niveau de gravité : Critique

4. Connexion temporaire sans mot de passe

Plugin : connexion temporaire sans mot de passe
Vulnérabilité : Mise à jour des paramètres du plugin Subscriber+
Patché dans la version : 1.7.1
Niveau de gravité : Moyen

5. ProfilPresse

Plugin : ProfilePress
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 3.2.3
Niveau de gravité : Moyen

Plugin : ProfilePress
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 3.2.3
Niveau de gravité : Élevé

6. Calendrier des événements modernes

Plugin : Calendrier des événements modernes
Vulnérabilité : Injection SQL aveugle non authentifiée
Patché dans la version : 6.1.5
Niveau de gravité : Élevé

Plugin : Calendrier des événements modernes
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 6.1.5
Niveau de gravité : Élevé

7. Image en vedette automatique

Plugin : Image sélectionnée automatiquement
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 3.9.3
Niveau de gravité : Moyen

8. Aucun suivi ultime

Plugin : Ultimate NoFollow
Vulnérabilité : Contributor+ Stored Cross-Site Scripting
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Moyen

9. Formulaires NEX

Plugin : NEX-Forms
Vulnérabilité : Multiple Admin+ Stored Cross-Site Scripting
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Faible

10. Booster de référencement

Plugin : Booster de référencement
Vulnérabilité : Admin+ SQL Injection
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Moyen

11. Journal système WP

Plugin : Journal système WP
Vulnérabilité : Script intersite stocké non authentifié
Patché dans la version : 1.0.21
Niveau de gravité : Critique

12. Rotateur de citations inspirantes

Plugin : Rotateur de citations inspirantes
Vulnérabilité : Admin+ Stored Cross-Site Scripting
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Faible

13. Exportateur à poste unique

Plugin : exportateur de publication unique
Vulnérabilité : Mise à jour des paramètres du plugin via CSRF
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Moyen

14. Polices locales flexibles

Plug-in : polices locales Flex
Vulnérabilité : Admin+ Stored Cross-Site-Scripting
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Faible

15. Changeur de logo WP Admin

Plugin : Changeur de logo WP Admin
Vulnérabilité : Mise à jour des paramètres du plugin via CSRF
Patché dans la version : Pas de correctif connu - plugin fermé
Niveau de gravité : Moyen

16. Base de données avancée du formulaire de contact

Plugin : Base de données avancée du formulaire de contact
Vulnérabilité : Appels AJAX non autorisés
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

17. Boutons brillants

Plugin : Boutons brillants
Vulnérabilité : Script intersite stocké non authentifié
Patché dans la version : Pas de correctif connu
Niveau de gravité : Élevé

18. Filtrer la galerie de portefeuilles

Plugin : filtrer la galerie de portfolios
Vulnérabilité : Arbitrary Gallery Deletion via CSRF
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

19. Limites de WP

Plugin : Limites WP
Vulnérabilité : Mise à jour des paramètres du plugin via CSRF
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

20. Code abrégé du contenu de la page/de la publication

Plugin : code abrégé de contenu de page/publication
Vulnérabilité : Contributor+ Arbitrary Posts/Pages Access
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

21. Page d'inclusion améliorée

Plugin : page Inclure améliorée
Vulnérabilité : Contributor+ Arbitrary Posts/Pages Access
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

22. Médiamatique

Plugin : Mediamatic
Vulnérabilité : Subscriber+ SQL Injection
Patché dans la version : Pas de correctif connu
Niveau de gravité : Élevé

23. Afficher les métadonnées des publications

Plugin : Afficher les métadonnées des publications
Vulnérabilité : Contributor+ Stored Cross-Site Scripting
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

24. Lien vers le haut

Plugin : Lien ToTop
Vulnérabilité : Injection d'objet PHP non authentifiée
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

25. Codes courts méta utilisateur

Plugin : méta-shortcodes utilisateur
Vulnérabilité : Contributor+ Unauthorized Arbitrary User Metadata Access
Patché dans la version : Pas de correctif connu
Niveau de gravité : Élevé

26. Collection de citations

Plugin : Collection de citations
Vulnérabilité : Admin+ SQL Injection
Patché dans la version : Pas de correctif connu
Niveau de gravité : Moyen

27. Notifications push pour WordPress (Lite)

Plugin : Notifications push pour WordPress (Lite)
Vulnérabilité : Mise à jour des paramètres via CSRF
Patché dans la version : 6.0.1
Niveau de gravité : Moyen

28. Presse sportive

Plugin : SportsPress
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 2.7.9
Niveau de gravité : Élevé

29. Fenêtre contextuelle de connexion/d'inscription

Plugin : fenêtre contextuelle de connexion/d'inscription
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 2.2
Niveau de gravité : Élevé

30. Aperçu des e-mails pour WooCommerce

Plugin : Aperçu des e-mails pour WooCommerce
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 2.0.0
Niveau de gravité : Moyen

31. Interface utilisateur WP

Plugin : Interface utilisateur WP
Vulnérabilité : Adhésion, Profil, Inscription & Post Submission Plugin pour WordPress
Patché dans la version : 3.5.25
Niveau de gravité : Moyen

32. Directorist - Plugin d'annuaire d'entreprises

Plugin : Directorist - Plugin d'annuaire d'entreprises
Vulnérabilité : CSRF vers Remote File Upload
Patché dans la version : 7.0.6.2
Niveau de gravité : Critique

33. Formulaires d'inscription faciles

Plugin : Formulaires d'inscription faciles
Vulnérabilité : CSRF vers Stored Cross-Site Scripting
Patché dans la version : Pas de correctif connu
Niveau de gravité : Élevé

34. WP Réinitialiser Pro

Plugin : WP Reset Pro
Vulnérabilité : Subscriber+ Database Reset
Patché dans la version : 5.99
Niveau de gravité : Critique

Plugin : WP Reset Pro
Vulnérabilité : Database Reset via CSRF
Patché dans la version : 5.99
Niveau de gravité : Critique

35. WordPress + Microsoft Office 365

Plugin : WordPress + Microsoft Office 365
Vulnérabilité : Script intersite stocké non authentifié
Patché dans la version : 15.4
Niveau de gravité : Critique

36. Message en double

Plugin : message en double
Vulnérabilité : Injection SQL authentifiée
Patché dans la version : 1.2.0
Niveau de gravité : Moyen

37. Migration de sauvegarde

Plug-in : migration de sauvegarde
Vulnérabilité : Admin+ Stored Cross-Site Scripting
Patché dans la version : 1.1.6
Niveau de gravité : Moyen

Comme vous pouvez le voir dans ce rapport, de nombreuses nouvelles vulnérabilités de plugins et de thèmes WordPress sont divulguées chaque semaine. Nous savons qu'il peut être difficile de rester au courant de chaque divulgation de vulnérabilité signalée, c'est pourquoi le plug-in iThemes Security Pro permet de s'assurer facilement que votre site n'exécute pas un thème, un plug-in ou une version principale de WordPress avec une vulnérabilité connue.

Obtenez iThemes Security Pro avec surveillance de la sécurité des sites Web 24h/24 et 7j/7

iThemes Security Pro, notre plugin de sécurité WordPress, propose plus de 50 façons de sécuriser et de protéger votre site Web contre les vulnérabilités de sécurité courantes de WordPress. Avec WordPress, l'authentification à deux facteurs, la protection contre la force brute, l'application d'un mot de passe fort, etc., vous pouvez ajouter des couches de sécurité supplémentaires à votre site Web.

Économisez 40% sur iThemes Security Pro