Raport de vulnerabilitate WordPress: ianuarie 2022, partea 2

Publicat: 2022-01-12

Pluginurile și temele vulnerabile sunt principalul motiv pentru care site-urile WordPress sunt sparte. Raportul săptămânal de vulnerabilitate WordPress dezvoltat de WPScan acoperă plugin-ul WordPress recent, tema și vulnerabilitățile principale și ce trebuie să faceți dacă rulați unul dintre pluginurile sau temele vulnerabile de pe site-ul dvs. web.

Fiecare vulnerabilitate va avea un rating de severitate scăzut , mediu , ridicat sau critic . Dezvăluirea și raportarea responsabilă a vulnerabilităților este o parte integrantă a menținerii în siguranță a comunității WordPress. Nou în acest raport: vulnerabilitățile sunt acum listate în ordinea numărului de instalări active, mai degrabă decât a datei dezvăluirii.

Vă rugăm să împărtășiți această postare cu prietenii dvs. pentru a ajuta la difuzarea cuvântului și pentru a face WordPress mai sigur pentru toată lumea !

Doriți ca acest raport să fie livrat în căsuța dvs. de e-mail în fiecare săptămână?

Abonați-vă la e-mailul săptămânal

Vulnerabilitățile de bază ale WordPress

Cea mai recentă versiune de nucleu WordPress a fost lansată pe 6 ianuarie 2022 ca lansare de securitate cu ciclu scurt. Deoarece WordPress 5.8.3 este o versiune de securitate, vă recomandăm să vă actualizați imediat toate site-urile.

Puteți actualiza la WordPress 5.8.3 descărcând de pe WordPress.org sau vizitând tabloul de bord WordPress > Actualizări și făcând clic pe Actualizare acum .

Dacă aveți site-uri care au activat actualizări automate în fundal, ar trebui să se fi actualizat deja cu succes.

WordPress Core

Vulnerabilitate : injectare SQL prin WP_Query
Patched în versiunea : 5.8.3
Explicație: Din cauza lipsei unei igienizări adecvate în WP_Meta_Query, există potențialul de injectare SQL oarbă.

Vulnerabilitatea a fost corectată, așa că asigurați-vă că rulați WordPress 5.8.3.

Vulnerabilitate : Autor+ XSS stocat prin Post Slugs
Patched în versiunea : 5.8.3
Explicație: Utilizatorii autentificați cu privilegii reduse (cum ar fi autorul) din nucleul WordPress sunt capabili să execute JavaScript/să efectueze atacuri XSS stocate prin post slugs, care pot afecta utilizatorii cu privilegii înalte.

Vulnerabilitatea a fost corectată, așa că asigurați-vă că rulați WordPress 5.8.3.

Vulnerabilitate : Injectarea de obiecte Super Admin în mai multe site-uri
Patched în versiunea : 5.8.3
Explicație: Pe un site multiplu, utilizatorii cu rol de Super Admin pot ocoli întărirea explicită/suplimentară în anumite condiții prin injectarea obiectului.

Vulnerabilitatea a fost corectată, așa că asigurați-vă că rulați WordPress 5.8.3.

Vulnerabilitate : injectare SQL prin WP_Meta_Query
Patched în versiunea : 5.8.3
Explicație: Din cauza lipsei unei igienizări adecvate în WP_Meta_Query, există potențialul de injectare SQL oarbă.

Vulnerabilitatea a fost corectată, așa că asigurați-vă că rulați WordPress 5.8.3.

Vulnerabilități în pluginul WordPress

În această secțiune, au fost dezvăluite cele mai recente vulnerabilități ale pluginului WordPress. Fiecare listă de plugin include tipul de vulnerabilitate, instalările active, numărul versiunii, dacă este corectat și gradul de severitate.

1. Suport SVG

Plugin: Suport SVG
Vulnerabilitate : Administrator+ Scripturi între site-uri stocate
Instalare activă : 800.000+
Patched în versiunea : 2.3.20
Scor de severitate : scăzut

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 2.3.20.

2. Curățarea activelor

Plugin: Asset CleanUp
Vulnerabilitate : Scripting Cross-Site reflectat prin acțiunea AJAX
Instalare activă : 100.000+
Patched în versiunea : 1.3.8.5
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 1.3.8.5.

Plugin: Asset CleanUp
Vulnerabilitate : Scripturi reflectate între site-uri
Instalare activă : 100.000+
Patched în versiunea : 1.3.8.5
Scor de severitate : mediu

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 1.3.8.5.

3. Abonamente plătite Pro

Plugin: Abonamente plătite Pro
Vulnerabilitate : Injecție SQL neautentificată oarbă
Instalare activă : 100.000+
Patched în versiunea : 2.6.7
Scor de severitate : critic

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 2.6.7.

4. NextScripts: Auto-Poster pentru rețelele sociale

Plugin: NextScripts: Auto-Poster pentru rețelele sociale
Vulnerabilitate : Post ștergere arbitrară prin CSRF
Instalare activă : 90.000+
Patched în versiunea : 4.3.25
Scor de severitate : mediu

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 4.3.25.

Plugin: NextScripts: Auto-Poster pentru rețelele sociale
Vulnerabilitate : XSS stocat neautentificat
Instalare activă : 90.000+
Patched în versiunea : 4.3.25
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 4.3.25.

5. Căutare de fildeș

Plugin: Ivory Search
Vulnerabilitate : Contributor+ Stocat Cross-Site Scripting
Instalare activă : 80.000+
Patched în versiunea : 5.4.1
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 5.4.1.

6. Feed social ușor

Plugin: Feed social ușor
Vulnerabilitate : Reflected Cross-Site Scripting (XSS)
Instalare activă : 70.000+
Patched în versiunea : 6.2.7
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 6.2.7.

7. Editor de stil CSS vizual

Plugin: Visual CSS Style Editor
Vulnerabilitate : Scripturi reflectate între site-uri
Instalare activă : 50.000+
Patched în versiunea : 7.5.4
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 7.5.4.

8. Intrări din formularul de contact

Plugin: Intrări din formularul de contact
Vulnerabilitate : Scripturi între site-uri stocate neautentificate
Instalare activă : 40.000+
Patched în versiunea : 1.1.7
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 1.1.7.

9. Manager Cron avansat

Plugin: Manager Cron avansat
Vulnerabilitate : Abonat+ Crearea/Ștergerea de evenimente/programe arbitrare
Instalare activă : 30.000+
Patched în versiunea : 2.4.2
Scor de severitate : mediu

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 2.4.2.

10. WPLegalPages

Plugin: WPLegalPages
Vulnerabilitate : Abonat+ Actualizare setări arbitrare la XSS stocat
Instalare activă : 20.000+
Patched în versiunea : 2.7.1
Scor de severitate : mediu

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 2.7.1.

11. Statistici ale vizitatorilor WP (trafic în timp real)

Plugin: Statistici ale vizitatorilor WP (Trafic în timp real)
Vulnerabilitate : Abonat+ SQL Injection
Instalare activă : 20.000+
Patched în versiunea : 4.8
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 4.8.

12. Dosare rele

Plugin: Wicked Folders
Vulnerabilitate : Abonat+ SQL Injection
Instalare activă : 10.000+
Patched în versiunea : 2.8.10
Scor de severitate : mare

Vulnerabilitatea este corectată, așa că ar trebui să actualizați la versiunea 2.8.10.

13. SuportCandy

Plugin: SupportCandy
Vulnerabilitate : Contributor+ Stocat Cross-Site Scripting
Instalare activă : 10.000+
Patched în versiunea : 2.2.7
Scor de severitate : mediu