WordPress 취약점 보고서: 2022년 1월, 2부

게시 됨: 2022-01-12

취약한 플러그인과 테마는 WordPress 웹사이트가 해킹되는 #1 이유입니다. WPScan이 제공하는 주간 WordPress 취약성 보고서는 최근 WordPress 플러그인, 테마 및 핵심 취약성과 웹사이트에서 취약한 플러그인 또는 테마 중 하나를 실행하는 경우 수행할 작업을 다룹니다.

각 취약점의 심각도는 낮음 , 보통 , 높음 또는 치명적 입니다. 취약성에 대한 책임 있는 공개 및 보고는 WordPress 커뮤니티를 안전하게 유지하는 데 필수적인 부분입니다. 이 보고서의 새로운 기능: 이제 취약점이 공개 날짜가 아닌 활성 설치 수에 따라 나열됩니다.

이 게시물을 친구들과 공유하여 모든 사람들이 WordPress를 더 안전하게 사용할 수 있도록 도와주세요 !

이 보고서가 매주 받은 편지함으로 전달되기를 원하십니까?

주간 이메일 구독

WordPress 핵심 취약점

최신 버전의 WordPress 코어는 2022년 1월 6일에 단기 보안 릴리스로 릴리스되었습니다. WordPress 5.8.3은 보안 릴리스이므로 모든 사이트를 즉시 업데이트하는 것이 좋습니다.

WordPress.org에서 다운로드하거나 WordPress 관리 대시보드 > 업데이트를 방문하고 지금 업데이트를 클릭하여 WordPress 5.8.3으로 업데이트할 수 있습니다.

자동 백그라운드 업데이트를 활성화한 사이트가 있는 경우 이미 성공적으로 업데이트되었을 것입니다.

워드프레스 코어

취약점 : WP_Query를 통한 SQL 주입
버전: 5.8.3에서 패치됨
설명: WP_Meta_Query에 적절한 삭제가 없기 때문에 블라인드 SQL 주입이 발생할 가능성이 있습니다.

취약점이 패치되었으므로 WordPress 5.8.3을 실행하고 있는지 확인하십시오.

취약점 : Author+ Post Slugs를 통한 XSS 저장
버전: 5.8.3에서 패치됨
설명: WordPress 코어의 낮은 권한의 인증된 사용자(예: 작성자)는 높은 권한의 사용자에게 영향을 줄 수 있는 포스트 슬러그를 통해 JavaScript를 실행하거나 저장된 XSS 공격을 수행할 수 있습니다.

취약점이 패치되었으므로 WordPress 5.8.3을 실행하고 있는지 확인하십시오.

취약점 : 다중 사이트의 슈퍼 관리자 개체 주입
버전: 5.8.3에서 패치됨
설명: 다중 사이트에서 최고 관리자 역할을 가진 사용자는 개체 주입을 통해 특정 조건에서 명시적/추가적 강화를 우회할 수 있습니다.

취약점이 패치되었으므로 WordPress 5.8.3을 실행하고 있는지 확인하십시오.

취약점 : WP_Meta_Query를 통한 SQL 주입
버전: 5.8.3에서 패치됨
설명: WP_Meta_Query에 적절한 삭제가 없기 때문에 블라인드 SQL 주입이 발생할 가능성이 있습니다.

취약점이 패치되었으므로 WordPress 5.8.3을 실행하고 있는지 확인하십시오.

WordPress 플러그인 취약점

이 섹션에서는 최신 WordPress 플러그인 취약점이 공개되었습니다. 각 플러그인 목록에는 취약점 유형, 활성 설치, 패치된 경우 버전 번호 및 심각도 등급이 포함됩니다.

1. SVG 지원

플러그인: SVG 지원
취약점 : Admin+ 저장된 교차 사이트 스크립팅
활성 설치 : 800,000+
버전: 2.3.20에서 패치 됨
심각도 점수 : 낮음

취약점이 패치되었으므로 버전 2.3.20으로 업데이트해야 합니다.

2. 자산 정리

플러그인: 자산 정리
취약점 : AJAX Action을 통한 반사된 Cross-Site Scripting
활성 설치 : 100,000+
버전: 1.3.8.5에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 1.3.8.5로 업데이트해야 합니다.

플러그인: 자산 정리
취약점 : 반사된 교차 사이트 스크립팅
활성 설치 : 100,000+
버전: 1.3.8.5에서 패치됨
심각도 점수 : 보통

취약점이 패치되었으므로 버전 1.3.8.5로 업데이트해야 합니다.

3. 유료 멤버십 프로

플러그인: 유료 멤버십 프로
취약점 : 인증되지 않은 블라인드 SQL 인젝션
활성 설치 : 100,000+
버전: 2.6.7에서 패치됨
심각도 점수 : 치명적

취약점이 패치되었으므로 버전 2.6.7로 업데이트해야 합니다.

4. NextScripts: 소셜 네트워크 자동 포스터

플러그인: NextScripts: 소셜 네트워크 자동 포스터
취약점 : CSRF를 통한 임의 포스트 삭제
활성 설치 : 90,000+
버전: 4.3.25에서 패치됨
심각도 점수 : 보통

취약점이 패치되었으므로 버전 4.3.25로 업데이트해야 합니다.

플러그인: NextScripts: 소셜 네트워크 자동 포스터
취약점 : 인증되지 않은 저장 XSS
활성 설치 : 90,000+
버전: 4.3.25에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 4.3.25로 업데이트해야 합니다.

5. 아이보리 검색

플러그인: 아이보리 검색
취약점 : Contributor+ 저장된 교차 사이트 스크립팅
활성 설치 : 80,000+
버전: 5.4.1에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 5.4.1로 업데이트해야 합니다.

6. 쉬운 소셜 피드

플러그인: 쉬운 소셜 피드
취약점 : 반사된 교차 사이트 스크립팅(XSS)
활성 설치 : 70,000+
버전: 6.2.7에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 6.2.7로 업데이트해야 합니다.

7. 비주얼 CSS 스타일 편집기

플러그인: 비주얼 CSS 스타일 편집기
취약점 : 반사된 교차 사이트 스크립팅
활성 설치 : 50,000+
버전: 7.5.4에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 7.5.4로 업데이트해야 합니다.

8. 문의 양식 항목

플러그인: 문의 양식 항목
취약점 : 인증되지 않은 저장된 교차 사이트 스크립팅
활성 설치 : 40,000+
버전: 1.1.7에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 1.1.7로 업데이트해야 합니다.

9. 고급 크론 관리자

플러그인: 고급 크론 관리자
취약점 : 구독자+ 임의 이벤트/스케줄 생성/삭제
활성 설치 : 30,000+
버전: 2.4.2에서 패치됨
심각도 점수 : 보통

취약점이 패치되었으므로 버전 2.4.2로 업데이트해야 합니다.

10. WP법적 페이지

플러그인: WPLegalPages
취약점 : 저장된 XSS에 대한 구독자+ 임의 설정 업데이트
활성 설치 : 20,000+
버전: 2.7.1에서 패치됨
심각도 점수 : 보통

취약점이 패치되었으므로 버전 2.7.1로 업데이트해야 합니다.

11. WP 방문자 통계(실시간 트래픽)

플러그인: WP 방문자 통계(실시간 트래픽)
취약점 : 구독자+ SQL 인젝션
활성 설치 : 20,000+
버전: 4.8에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 4.8로 업데이트해야 합니다.

12. 사악한 폴더

플러그인: 사악한 폴더
취약점 : 구독자+ SQL 인젝션
활성 설치 : 10,000+
버전: 2.8.10에서 패치됨
심각도 점수 : 높음

취약점이 패치되었으므로 버전 2.8.10으로 업데이트해야 합니다.

13. 서포트캔디

플러그인: SupportCandy
취약점 : Contributor+ 저장된 교차 사이트 스크립팅
활성 설치 : 10,000+
버전: 2.2.7에서 패치됨
심각도 점수 : 보통