Отчет об уязвимостях WordPress: декабрь 2021 г., часть 2

Уязвимые плагины и темы — причина №1 взлома сайтов WordPress. Еженедельный отчет об уязвимостях WordPress, подготовленный WPScan, охватывает последние уязвимости плагинов, тем и ядер WordPress, а также информацию о том, что делать, если вы запускаете один из уязвимых плагинов или тем на своем веб-сайте.

Каждая уязвимость будет иметь уровень серьезности Низкий , Средний , Высокий или Критический . Ответственное раскрытие уязвимостей и сообщение об уязвимостях — неотъемлемая часть обеспечения безопасности сообщества WordPress.

Пожалуйста, поделитесь этой записью со своими друзьями, чтобы помочь распространить информацию и сделать WordPress более безопасным для всех.

На этой неделе Gravatar, глобальный сервис уникальных аватаров, был взломан, хотя Gravatar уверяет, что взлома не было.

Данные были скопированы, что не является нарушением, поскольку пароли и другая личная информация не были украдены. Вместо этого общедоступная информация была собрана способом, который обычно нелегко получить. Теоретически кто-то должен знать имя пользователя Gravatar, чтобы получить доступ к адресу электронной почты этого пользователя. Скрапинг позволил злоумышленнику одновременно загрузить имена пользователей и электронные письма.

Последняя версия ядра WordPress — 5.8.2. Рекомендуется всегда использовать последнюю версию ядра WordPress!

В этом разделе были раскрыты последние уязвимости плагинов WordPress. Список каждого подключаемого модуля включает тип уязвимости, номер версии, если она исправлена, и рейтинг серьезности.

1. Менеджер мероприятий

Плагин: Менеджер событий
Уязвимость : Admin+ SQL Injection
Исправлено в версии : 5.9.8
Оценка серьезности : средняя

Плагин: Менеджер событий
Уязвимость : межсайтовый скриптинг (XSS)
Исправлено в версии : 5.9.8
Оценка серьезности : низкая

2. Богатые отзывы от Starfish

Плагин: Богатые обзоры от Starfish
Уязвимость : Admin+ SQL Injection
Исправлено в версии : 1.9.6
Оценка серьезности : средняя

3. Типбот

Плагин: Типбот
Уязвимость : Сохраненный межсайтовый скриптинг Admin+
Исправлено в версии : 1.4.3
Оценка серьезности : низкая

4. Контактная форма и конструктор форм для лидов

Плагин: Contact Form и Lead Form Elementor Builder
Уязвимость : неаутентифицированный сохраненный межсайтовый скриптинг
Исправлено в версии : 1.6.4
Оценка серьезности : высокая

5. Менеджер загрузки

Плагин: Менеджер загрузок
Уязвимость : подписчик + хранимый межсайтовый скриптинг
Исправлено в версии : 3.2.22
Оценка серьезности : высокая

6. WP RSS-агрегатор

Плагин: Абонент + Сохраненный межсайтовый скриптинг
Уязвимость : Admin+ SQL Injection
Исправлено в версии : 4.19.3
Оценка серьезности : высокая

7. Buttonizer — интеллектуальная плавающая кнопка действия

Плагин: Buttonizer — умная плавающая кнопка действия
Уязвимость : межсайтовый скриптинг, хранимый администратором+
Исправлено в версии : 2.5.5
Оценка серьезности : низкая

8. Журналирование почты WP

Плагин: Ведение почты WP
Уязвимость : устаревшая среда Redux
Исправлено в версии : 1.10.0
Оценка серьезности : средняя

9. Стетик

Плагин: Stetic
Уязвимость : CSRF для сохраненных межсайтовых сценариев
Версия исправлена : неизвестное исправление — плагин закрыт
Оценка серьезности : высокая

10. Контактная форма с капчей

Плагин: контактная форма с капчей
Уязвимость : CSRF для сохраненных межсайтовых сценариев
Версия исправлена : неизвестное исправление — плагин закрыт
Оценка серьезности : высокая

11. Потрясающая поддержка

Плагин: Потрясающая поддержка
Уязвимость : отраженный межсайтовый скриптинг
Исправлено в версии : 6.0.7
Оценка серьезности : высокая

12. Форумы Асгароса

Плагин: Форумы Asgaros
Уязвимость : межсайтовый скриптинг, хранимый администратором+
Исправлено в версии : 1.15.14
Оценка серьезности : низкая

13. Кэш LiteSpeed

Плагин: LiteSpeed ​​Cache
Уязвимость : обход проверки IP-адреса для неаутентифицированного сохраненного XSS
Исправлено в версии : 4.4.4
Оценка серьезности : высокая

Плагин: LiteSpeed ​​Cache
Уязвимость : межсайтовый скриптинг, отраженный администратором+
Исправлено в версии : 4.4.4
Оценка серьезности : высокая

14. Видеоконференции с Zoom

Плагин: Видеоконференции с Zoom
Уязвимость : отраженный межсайтовый скриптинг
Исправлено в версии : 3.8.16
Оценка серьезности : высокая

15. Бустер для Woocommerce

Плагин: Booster для Woocommerce
Уязвимость : отражение межсайтового скриптинга в модуле выставления счетов PDF
Исправлено в версии : 5.4.9
Оценка серьезности : высокая

Плагин: Booster для Woocommerce
Уязвимость : отражение межсайтового скриптинга в общем модуле
Исправлено в версии : 5.4.9
Оценка серьезности : высокая

Плагин: Booster для Woocommerce
Уязвимость : отражение межсайтового скриптинга в модуле XML-каналов продуктов
Исправлено в версии : 5.4.9
Оценка серьезности : высокая

16. Ускоритель скорости

Плагин: Speed ​​Booster Pack
Уязвимость : Admin+ SQL Injection
Исправлено в версии : 4.3.3.1
Оценка серьезности : средняя

17. ОМГФ

Плагин: OMGF
Уязвимость : произвольное удаление папки Admin+ через обход пути
Исправлено в версии : 4.5.12
Оценка серьезности : средняя

18. ЦАОС

Плагин: CAOS
Уязвимость : произвольное удаление папки Admin+ через обход пути
Исправлено в версии : 4.1.9
Оценка серьезности : средняя

19. Двигатель путешествия WP

Плагин: WP Travel Engine
Уязвимость : Редактор + Сохраненный межсайтовый скриптинг
Исправлено в версии : 5.3.1
Оценка серьезности : низкая

20. Скачать монитор

Плагин: Скачать монитор
Уязвимость : Admin+ SQL Injection
Исправлено в версии : 4.4.5
Оценка серьезности : средняя

21. Ипотечный калькулятор / Кредитный калькулятор

Плагин: Ипотечный калькулятор / Калькулятор кредита
Уязвимость : Contributor+ Сохраненный межсайтовый скриптинг
Исправлено в версии : 1.5.17
Оценка серьезности : средняя

22. Образцы вариаций для WooCommerce

Плагин: Образцы вариаций для WooCommerce
Уязвимость : подписчик + хранимый межсайтовый скриптинг
Исправлено в версии : 2.1.2
Оценка серьезности : высокая

23. Партнерская реклама ClickBank

Плагин: Партнерская реклама ClickBank
Уязвимость : CSRF для сохраненных межсайтовых сценариев
Версия исправлена : неизвестное исправление — плагин закрыт
Оценка серьезности : высокая

Плагин: Партнерская реклама ClickBank
Уязвимость : межсайтовый скриптинг, хранимый администратором+
Версия исправлена : неизвестное исправление — плагин закрыт
Оценка серьезности : низкая

24. Дополнительные настраиваемые поля

Плагин: Расширенные настраиваемые поля
Уязвимость : Абонент+ Произвольные данные/группы полей ACF Просмотр и перемещение полей
Исправлено в версии : 5.11
Оценка серьезности : средняя

25. Песнь

Плагин: Песня
Уязвимость : неаутентифицированный слепой SSRF
Исправлено в версии : неизвестное исправление
Оценка серьезности : средняя

26. Галерея «Все в одном»

Плагин: All-In-One-Gallery
Уязвимость : Admin+ включение локальных файлов
Исправлено в версии : 2.5.0
Оценка серьезности : низкая

Как видно из этого отчета, каждую неделю раскрывается множество новых уязвимостей плагинов и тем WordPress. Мы знаем, что может быть сложно оставаться в курсе всех обнаруженных уязвимостей, поэтому плагин iThemes Security Pro позволяет легко убедиться, что на вашем сайте не используется тема, плагин или основная версия WordPress с известной уязвимостью.

Получите iThemes Security Pro с круглосуточным мониторингом безопасности сайта

iThemes Security Pro, наш плагин безопасности WordPress, предлагает более 50 способов защитить ваш сайт от распространенных уязвимостей безопасности WordPress. Благодаря WordPress, двухфакторной аутентификации, защите от грубой силы, надежному принудительному использованию паролей и многим другим вы можете добавить дополнительные уровни безопасности на свой веб-сайт.

Получите iThemes Security Pro