Laporan Kerentanan WordPress: Januari 2022, Bagian 2

Diterbitkan: 2022-01-12

Plugin dan tema yang rentan adalah alasan #1 mengapa situs web WordPress diretas. Laporan Kerentanan WordPress mingguan yang didukung oleh WPScan mencakup plugin, tema, dan kerentanan inti WordPress terbaru, dan apa yang harus dilakukan jika Anda menjalankan salah satu plugin atau tema yang rentan di situs web Anda.

Setiap kerentanan akan memiliki tingkat keparahan Rendah , Sedang , Tinggi , atau Kritis . Pengungkapan dan pelaporan kerentanan yang bertanggung jawab merupakan bagian integral dari menjaga keamanan komunitas WordPress. Baru dalam laporan ini: kerentanan sekarang diurutkan berdasarkan jumlah penginstalan aktif, bukan tanggal pengungkapan.

Silakan bagikan posting ini dengan teman-teman Anda untuk membantu menyebarkan berita dan membuat WordPress lebih aman untuk semua orang !

Ingin laporan ini dikirim ke kotak masuk Anda setiap minggu?

Berlangganan email mingguan

Kerentanan Inti WordPress

Versi terbaru dari inti WordPress dirilis pada 6 Januari 2022 sebagai rilis keamanan siklus pendek. Karena WordPress 5.8.3 adalah rilis keamanan, kami menyarankan Anda untuk segera memperbarui semua situs Anda.

Anda dapat memperbarui ke WordPress 5.8.3 dengan mengunduh dari WordPress.org atau mengunjungi dasbor admin WordPress > Pembaruan dan mengeklik Perbarui Sekarang .

Jika Anda memiliki situs yang telah mengaktifkan pembaruan latar belakang otomatis, situs tersebut seharusnya sudah berhasil diperbarui.

Inti WordPress

Kerentanan : Injeksi SQL melalui WP_Query
Ditambal dalam Versi : 5.8.3
Penjelasan: Karena kurangnya sanitasi yang tepat di WP_Meta_Query, ada potensi Injeksi SQL buta.

Kerentanan telah ditambal, jadi pastikan Anda menjalankan WordPress 5.8.3.

Kerentanan : Penulis+ Menyimpan XSS melalui Post Slug
Ditambal dalam Versi : 5.8.3
Penjelasan: Pengguna yang diautentikasi dengan hak istimewa rendah (seperti penulis) di inti WordPress dapat menjalankan JavaScript/melakukan serangan XSS yang tersimpan melalui siput pos, yang dapat memengaruhi pengguna dengan hak istimewa tinggi.

Kerentanan telah ditambal, jadi pastikan Anda menjalankan WordPress 5.8.3.

Kerentanan : Injeksi Objek Admin Super di Multisitus
Ditambal dalam Versi : 5.8.3
Penjelasan: Di multisite, pengguna dengan peran Admin Super dapat melewati pengerasan eksplisit/tambahan dalam kondisi tertentu melalui injeksi objek.

Kerentanan telah ditambal, jadi pastikan Anda menjalankan WordPress 5.8.3.

Kerentanan : Injeksi SQL melalui WP_Meta_Query
Ditambal dalam Versi : 5.8.3
Penjelasan: Karena kurangnya sanitasi yang tepat di WP_Meta_Query, ada potensi Injeksi SQL buta.

Kerentanan telah ditambal, jadi pastikan Anda menjalankan WordPress 5.8.3.

Kerentanan Plugin WordPress

Di bagian ini, kerentanan plugin WordPress terbaru telah diungkapkan. Setiap daftar plugin mencakup jenis kerentanan, instalasi aktif, nomor versi jika ditambal, dan peringkat keparahan.

1. Dukungan SVG

Plugin: Dukungan SVG
Kerentanan : Admin+ Skrip Lintas Situs Tersimpan
Instalasi Aktif : 800,000+
Ditambal dalam Versi : 2.3.20
Skor Keparahan : Rendah

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 2.3.20.

2. Pembersihan Aset

Plugin: Pembersihan Aset
Kerentanan : Skrip Lintas Situs Tercermin melalui AJAX Action
Instalasi Aktif : 100.000+
Ditambal dalam Versi : 1.3.8.5
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 1.3.8.5.

Plugin: Pembersihan Aset
Kerentanan : Skrip Lintas Situs Tercermin
Instalasi Aktif : 100.000+
Ditambal dalam Versi : 1.3.8.5
Skor Keparahan : Sedang

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 1.3.8.5.

3. Keanggotaan Berbayar Pro

Plugin: Keanggotaan Berbayar Pro
Kerentanan : Injeksi SQL Buta Tidak Diautentikasi
Instalasi Aktif : 100.000+
Ditambal dalam Versi : 2.6.7
Skor Keparahan : Kritis

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 2.6.7.

4. Naskah Berikutnya: Poster Otomatis Jejaring Sosial

Plugin: NextScripts: Poster Otomatis Jejaring Sosial
Kerentanan : Penghapusan Postingan Sewenang-wenang melalui CSRF
Instalasi Aktif : 90.000+
Ditambal dalam Versi : 4.3.25
Skor Keparahan : Sedang

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 4.3.25.

Plugin: NextScripts: Poster Otomatis Jejaring Sosial
Kerentanan : XSS Tersimpan Tidak Diautentikasi
Instalasi Aktif : 90.000+
Ditambal dalam Versi : 4.3.25
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 4.3.25.

5. Pencarian Gading

Plugin: Pencarian Gading
Kerentanan : Kontributor+ Skrip Lintas Situs Tersimpan
Instalasi Aktif : 80.000+
Ditambal dalam Versi : 5.4.1
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 5.4.1.

6. Umpan Sosial Mudah

Plugin: Umpan Sosial Mudah
Kerentanan : Skrip Lintas Situs Tercermin (XSS)
Instalasi Aktif : 70.000+
Ditambal dalam Versi : 6.2.7
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 6.2.7.

7. Editor Gaya CSS Visual

Plugin: Editor Gaya CSS Visual
Kerentanan : Skrip Lintas Situs Tercermin
Instalasi Aktif : 50,000+
Ditambal dalam Versi : 7.5.4
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 7.5.4.

8. Entri Formulir Kontak

Plugin: Entri Formulir Kontak
Kerentanan : Skrip Lintas Situs Tersimpan Tidak Diautentikasi
Instalasi Aktif : 40.000+
Ditambal dalam Versi : 1.1.7
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 1.1.7.

9. Manajer Cron Tingkat Lanjut

Plugin: Manajer Cron Tingkat Lanjut
Kerentanan : Pelanggan+ Acara Sewenang-wenang/Pembuatan/Penghapusan Jadwal
Instalasi Aktif : 30,000+
Ditambal dalam Versi : 2.4.2
Skor Keparahan : Sedang

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 2.4.2.

10. WPLegalPages

Plugin: WPLegalPages
Kerentanan : Pembaruan Pengaturan Pelanggan+ Sewenang-wenang ke XSS yang Disimpan
Instalasi Aktif : 20.000+
Ditambal dalam Versi : 2.7.1
Skor Keparahan : Sedang

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 2.7.1.

11. Statistik Pengunjung WP (Lalu Lintas Waktu Nyata)

Plugin: Statistik Pengunjung WP (Lalu Lintas Waktu Nyata)
Kerentanan : Pelanggan+ Injeksi SQL
Instalasi Aktif : 20.000+
Ditambal dalam Versi : 4.8
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 4.8.

12. Folder Jahat

Plugin: Folder Jahat
Kerentanan : Pelanggan+ Injeksi SQL
Instalasi Aktif : 10.000+
Ditambal dalam Versi : 2.8.10
Skor Keparahan : Tinggi

Kerentanan telah ditambal, jadi Anda harus memperbarui ke versi 2.8.10.

13. SupportCandy

Plugin: SupportCandy
Kerentanan : Kontributor+ Skrip Lintas Situs Tersimpan
Instalasi Aktif : 10.000+
Ditambal dalam Versi : 2.2.7
Skor Keparahan : Sedang