Raport podatności WordPressa: styczeń 2022, część 2

Opublikowany: 2022-01-12

Podatne wtyczki i motywy są głównym powodem ataków na witryny WordPress. Cotygodniowy raport na temat luk w zabezpieczeniach WordPress obsługiwany przez WPScan obejmuje najnowsze wtyczki WordPress, motywy i podstawowe luki w zabezpieczeniach oraz co zrobić, jeśli uruchomisz jedną z wrażliwych wtyczek lub motywów w swojej witrynie.

Każda podatność będzie miała wskaźnik ważności Niski , Średni , Wysoki lub Krytyczny . Odpowiedzialne ujawnianie i zgłaszanie luk w zabezpieczeniach jest integralną częścią zapewniania bezpieczeństwa społeczności WordPressa. Nowość w tym raporcie: luki są teraz wymienione w kolejności według liczby aktywnych instalacji, a nie daty ujawnienia.

Podziel się tym postem ze znajomymi, aby pomóc w rozpowszechnianiu informacji i uczynić WordPress bezpieczniejszym dla wszystkich !

Chcesz co tydzień dostarczać ten raport do Twojej skrzynki odbiorczej?

Zapisz się do cotygodniowego e-maila

Główne luki w WordPressie

Najnowsza wersja rdzenia WordPressa została wydana 6 stycznia 2022 r. jako krótkookresowe wydanie bezpieczeństwa. Ponieważ WordPress 5.8.3 jest wydaniem bezpieczeństwa, zalecamy natychmiastową aktualizację wszystkich swoich witryn.

Możesz zaktualizować do WordPress 5.8.3, pobierając z WordPress.org lub odwiedzając pulpit nawigacyjny WordPressa > Aktualizacje i klikając Aktualizuj teraz .

Jeśli masz witryny, które mają włączone automatyczne aktualizacje w tle, powinny już zostać pomyślnie zaktualizowane.

Rdzeń WordPressa

Luka : wstrzyknięcie SQL przez WP_Query
Łatka w wersji : 5.8.3
Objaśnienie: Z powodu braku odpowiedniego oczyszczania w WP_Meta_Query, istnieje możliwość ślepego wstrzykiwania SQL.

Luka została załatana, więc upewnij się, że korzystasz z WordPress 5.8.3.

Luka w zabezpieczeniach: autor + przechowywany XSS za pośrednictwem Post Slugs
Łatka w wersji : 5.8.3
Objaśnienie: Uwierzytelnieni użytkownicy o niskich uprawnieniach (np. autor) w rdzeniu WordPressa są w stanie wykonać JavaScript/wykonać zapisane ataki XSS poprzez post slugs, co może mieć wpływ na użytkowników o wysokich uprawnieniach.

Luka została załatana, więc upewnij się, że korzystasz z WordPress 5.8.3.

Luka w zabezpieczeniach: wstrzyknięcie obiektu superadministratora w wielu witrynach
Łatka w wersji : 5.8.3
Objaśnienie: W systemie wielostanowiskowym użytkownicy z rolą superadministratora mogą w pewnych warunkach ominąć jawne/dodatkowe zabezpieczenie przez wstrzyknięcie obiektu.

Luka została załatana, więc upewnij się, że korzystasz z WordPress 5.8.3.

Luka : wstrzyknięcie SQL przez WP_Meta_Query
Łatka w wersji : 5.8.3
Objaśnienie: Z powodu braku odpowiedniego oczyszczania w WP_Meta_Query, istnieje możliwość ślepego wstrzykiwania SQL.

Luka została załatana, więc upewnij się, że korzystasz z WordPress 5.8.3.

Luki w zabezpieczeniach wtyczki WordPress

W tej sekcji ujawniono najnowsze luki w zabezpieczeniach wtyczki WordPress. Każda lista wtyczek zawiera typ luki, aktywne instalacje, numer wersji, jeśli została ona załatana, oraz ocenę ważności.

1. Wsparcie SVG

Wtyczka: Wsparcie SVG
Luka w zabezpieczeniach: Admin+ Stored Cross-Site Scripting
Aktywna instalacja : 800 000+
Łatka w wersji : 2.3.20
Wynik ciężkości : niski

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2.3.20.

2. Czyszczenie zasobów

Wtyczka: czyszczenie zasobów
Luka w zabezpieczeniach: odbite skrypty między witrynami za pośrednictwem akcji AJAX
Aktywna instalacja : 100 000+
Łatka w wersji : 1.3.8.5
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 1.3.8.5.

Wtyczka: czyszczenie zasobów
Luka w zabezpieczeniach: odbite skrypty między witrynami
Aktywna instalacja : 100 000+
Łatka w wersji : 1.3.8.5
Wynik ważności : średni

Luka została załatana, więc powinieneś zaktualizować ją do wersji 1.3.8.5.

3. Płatne członkostwo Pro

Wtyczka: Płatne członkostwo Pro
Luka w zabezpieczeniach: nieuwierzytelniony, ślepy wstrzyknięcie SQL
Aktywna instalacja : 100 000+
Poprawione w wersji : 2.6.7
Ocena ważności : krytyczna

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2.6.7.

4. NextScripts: Auto-plakat sieci społecznościowych

Wtyczka: NextScripts: Auto-plakat sieci społecznościowych
Luka w zabezpieczeniach: arbitralne usunięcie posta za pośrednictwem CSRF
Aktywna instalacja : 90 000+
Łatka w wersji : 4.3.25
Wynik ważności : średni

Luka została załatana, więc powinieneś zaktualizować ją do wersji 4.3.25.

Wtyczka: NextScripts: Auto-plakat sieci społecznościowych
Luka w zabezpieczeniach: nieuwierzytelniony przechowywany XSS
Aktywna instalacja : 90 000+
Łatka w wersji : 4.3.25
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 4.3.25.

5. Poszukiwanie kości słoniowej

Wtyczka: Wyszukiwanie kości słoniowej
Luka w zabezpieczeniach : Przechowywane skrypty między witrynami Contributor+
Aktywna instalacja : 80 000+
Łatka w wersji : 5.4.1
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 5.4.1.

6. Łatwy kanał społecznościowy

Wtyczka: Łatwy kanał społecznościowy
Luka w zabezpieczeniach: odbite skrypty między witrynami (XSS)
Aktywna instalacja : 70 000+
Poprawione w wersji : 6.2.7
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 6.2.7.

7. Wizualny edytor stylów CSS

Wtyczka: wizualny edytor stylów CSS
Luka w zabezpieczeniach: odbite skrypty między witrynami
Aktywna instalacja : 50 000+
Łatka w wersji : 7.5.4
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 7.5.4.

8. Wpisy w formularzu kontaktowym

Wtyczka: Wpisy do formularza kontaktowego
Luka w zabezpieczeniach: nieuwierzytelnione zapisane skrypty między witrynami
Aktywna instalacja : 40 000+
Łatka w wersji : 1.1.7
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 1.1.7.

9. Zaawansowany menedżer Cron

Wtyczka: Zaawansowany menedżer Cron
Luka w zabezpieczeniach: Subskrybent + arbitralne zdarzenia/tworzenie/usuwanie harmonogramów
Aktywna instalacja : 30 000+
Łatka w wersji : 2.4.2
Wynik ważności : średni

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2.4.2.

10. Strony prawne WPL

Wtyczka: WPLegalPages
Luka w zabezpieczeniach: aktualizacja arbitralnych ustawień subskrybenta i zapisanych ustawień XSS
Aktywna instalacja : 20 000+
Łatka w wersji : 2.7.1
Wynik ważności : średni

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2.7.1.

11. Statystyki odwiedzających WP (Ruch w czasie rzeczywistym)

Wtyczka: statystyki odwiedzin WP (ruch w czasie rzeczywistym)
Luka w zabezpieczeniach : subskrybent + wstrzyknięcie SQL
Aktywna instalacja : 20 000+
Poprawione w wersji : 4.8
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 4.8.

12. Niegodziwe foldery

Wtyczka: Złe foldery
Luka w zabezpieczeniach : subskrybent + wstrzyknięcie SQL
Aktywna instalacja : ponad 10 000
Poprawione w wersji : 2.8.10
Wynik ważności : wysoki

Luka została załatana, więc powinieneś zaktualizować ją do wersji 2.8.10.

13. WsparcieCandy

Wtyczka: SupportCandy
Luka w zabezpieczeniach : Przechowywane skrypty między witrynami Contributor+
Aktywna instalacja : ponad 10 000
Poprawione w wersji : 2.2.7
Wynik ważności : średni