Relatório de vulnerabilidade do WordPress: janeiro de 2022, parte 2

Publicados: 2022-01-12

Plugins e temas vulneráveis são a razão número 1 pela qual os sites WordPress são invadidos. O relatório semanal de vulnerabilidades do WordPress, desenvolvido pela WPScan, abrange as vulnerabilidades recentes de plugins, temas e principais do WordPress, e o que fazer se você executar um dos plugins ou temas vulneráveis em seu site.

Cada vulnerabilidade terá uma classificação de gravidade baixa , média , alta ou crítica . A divulgação responsável e o relatório de vulnerabilidades são parte integrante de manter a comunidade WordPress segura. Novidade neste relatório: as vulnerabilidades agora são listadas em ordem pelo número de instalações ativas, em vez da data da divulgação.

Por favor, compartilhe este post com seus amigos para ajudar a divulgar e tornar o WordPress mais seguro para todos !

Quer que este relatório seja entregue em sua caixa de entrada toda semana?

Assine o e-mail semanal

Vulnerabilidades do WordPress Core

A versão mais recente do núcleo do WordPress foi lançada em 6 de janeiro de 2022 como uma versão de segurança de ciclo curto. Como o WordPress 5.8.3 é uma versão de segurança, recomendamos que você atualize todos os seus sites imediatamente.

Você pode atualizar para o WordPress 5.8.3 baixando do WordPress.org ou visitando o painel de administração do WordPress > Atualizações e clicando em Atualizar agora .

Se você tiver sites que habilitaram atualizações automáticas em segundo plano, eles já devem ter sido atualizados com êxito.

Núcleo do WordPress

Vulnerabilidade : SQL Injection via WP_Query
Corrigido na versão : 5.8.3
Explicação: Devido à falta de sanitização adequada no WP_Meta_Query, há potencial para injeção de SQL cega.

A vulnerabilidade foi corrigida, portanto, verifique se você está executando o WordPress 5.8.3.

Vulnerabilidade : Author+ Armazenado XSS via Post Slugs
Corrigido na versão : 5.8.3
Explicação: Usuários autenticados com poucos privilégios (como autor) no núcleo do WordPress são capazes de executar JavaScript/executar ataques XSS armazenados por meio de slugs de postagem, o que pode afetar usuários com altos privilégios.

A vulnerabilidade foi corrigida, portanto, verifique se você está executando o WordPress 5.8.3.

Vulnerabilidade : Injeção de Objeto Super Admin em Multisites
Corrigido na versão : 5.8.3
Explicação: Em um multisite, os usuários com a função Super Admin podem ignorar a proteção explícita/adicional sob certas condições por meio de injeção de objeto.

A vulnerabilidade foi corrigida, portanto, verifique se você está executando o WordPress 5.8.3.

Vulnerabilidade : SQL Injection via WP_Meta_Query
Corrigido na versão : 5.8.3
Explicação: Devido à falta de sanitização adequada no WP_Meta_Query, há potencial para injeção de SQL cega.

A vulnerabilidade foi corrigida, portanto, verifique se você está executando o WordPress 5.8.3.

Vulnerabilidades de plugins do WordPress

Nesta seção, as vulnerabilidades mais recentes do plugin WordPress foram divulgadas. Cada listagem de plug-ins inclui o tipo de vulnerabilidade, as instalações ativas, o número da versão se corrigida e a classificação de gravidade.

1. Suporte SVG

Plugin: Suporte a SVG
Vulnerabilidade : Admin+ Stored Cross-Site Scripting
Instalação ativa : 800.000+
Corrigido na versão : 2.3.20
Pontuação de gravidade : baixa

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 2.3.20.

2. Limpeza de ativos

Plugin: Limpeza de ativos
Vulnerabilidade : Script entre sites refletido via ação AJAX
Instalação ativa : 100.000+
Corrigido na versão : 1.3.8.5
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 1.3.8.5.

Plugin: Limpeza de ativos
Vulnerabilidade : Script entre sites refletido
Instalação ativa : 100.000+
Corrigido na versão : 1.3.8.5
Pontuação de gravidade : média

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 1.3.8.5.

3. Assinaturas Pro pagas

Plugin: assinaturas pagas Pro
Vulnerabilidade : Injeção de SQL cega não autenticada
Instalação ativa : 100.000+
Corrigido na versão : 2.6.7
Pontuação de gravidade : Crítico

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 2.6.7.

4. NextScripts: Auto-Poster de Redes Sociais

Plugin: NextScripts: Auto-Poster de Redes Sociais
Vulnerabilidade : exclusão arbitrária de postagem via CSRF
Instalação ativa : 90.000+
Corrigido na versão : 4.3.25
Pontuação de gravidade : média

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 4.3.25.

Plugin: NextScripts: Auto-Poster de Redes Sociais
Vulnerabilidade : XSS armazenado não autenticado
Instalação ativa : 90.000+
Corrigido na versão : 4.3.25
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 4.3.25.

5. Pesquisa de Marfim

Plugin: Pesquisa de Marfim
Vulnerabilidade : Contributor+ Scripts entre sites armazenados
Instalação ativa : 80.000+
Corrigido na versão : 5.4.1
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 5.4.1.

6. Feed Social Fácil

Plugin: Feed Social Fácil
Vulnerabilidade : Script entre sites refletido (XSS)
Instalação ativa : 70.000+
Corrigido na versão : 6.2.7
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 6.2.7.

7. Editor de estilo CSS visual

Plugin: Editor de estilo CSS visual
Vulnerabilidade : Script entre sites refletido
Instalação ativa : 50.000+
Corrigido na versão : 7.5.4
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 7.5.4.

8. Inscrições do Formulário de Contato

Plugin: Entradas de formulário de contato
Vulnerabilidade : script entre sites armazenado não autenticado
Instalação ativa : 40.000+
Corrigido na versão : 1.1.7
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 1.1.7.

9. Gerenciador Cron Avançado

Plugin: Gerenciador Cron Avançado
Vulnerabilidade : Assinante+ Eventos Arbitrários/Cronogramas Criação/Exclusão
Instalação ativa : 30.000+
Corrigido na versão : 2.4.2
Pontuação de gravidade : média

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 2.4.2.

10. Páginas legais do WPL

Plugin: WPLegalPages
Vulnerabilidade : Atualização de configurações arbitrárias do Assinante+ para XSS armazenado
Instalação ativa : 20.000+
Corrigido na versão : 2.7.1
Pontuação de gravidade : média

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 2.7.1.

11. Estatísticas de visitantes do WP (tráfego em tempo real)

Plugin: Estatísticas de visitantes do WP (tráfego em tempo real)
Vulnerabilidade : Assinante + SQL Injection
Instalação ativa : 20.000+
Corrigido na versão : 4.8
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 4.8.

12. Pastas Perversas

Plugin: Pastas Perversas
Vulnerabilidade : Assinante + SQL Injection
Instalação ativa : 10.000+
Corrigido na versão : 2.8.10
Pontuação de gravidade : alta

A vulnerabilidade foi corrigida, então você deve atualizar para a versão 2.8.10.

13. SuporteDoces

Plugin: SupportCandy
Vulnerabilidade : Contributor+ Scripts entre sites armazenados
Instalação ativa : 10.000+
Corrigido na versão : 2.2.7
Pontuação de gravidade : média