Отчет об уязвимостях WordPress: январь 2022 г., часть 2

Опубликовано: 2022-01-12

Уязвимые плагины и темы — причина №1 взлома сайтов WordPress. Еженедельный отчет об уязвимостях WordPress, подготовленный WPScan, охватывает последние уязвимости плагинов, тем и ядер WordPress, а также информацию о том, что делать, если вы запускаете один из уязвимых плагинов или тем на своем веб-сайте.

Каждая уязвимость будет иметь уровень серьезности Низкий , Средний , Высокий или Критический . Ответственное раскрытие уязвимостей и сообщение об уязвимостях — неотъемлемая часть обеспечения безопасности сообщества WordPress. Новое в этом отчете: уязвимости теперь перечислены по количеству активных установок, а не по дате раскрытия.

Пожалуйста, поделитесь этой записью со своими друзьями, чтобы помочь распространить информацию и сделать WordPress более безопасным для всех !

Хотите, чтобы этот отчет доставлялся на ваш почтовый ящик каждую неделю?

Подпишитесь на еженедельную рассылку

Уязвимости ядра WordPress

Последняя версия ядра WordPress была выпущена 6 января 2022 года в качестве короткого выпуска безопасности. Поскольку WordPress 5.8.3 является выпуском безопасности, мы рекомендуем вам немедленно обновить все ваши сайты.

Вы можете обновить WordPress до версии 5.8.3, загрузив ее с WordPress.org или посетив панель администратора WordPress > «Обновления» и нажав « Обновить сейчас» .

Если у вас есть сайты, на которых включено автоматическое фоновое обновление, они уже должны были успешно обновиться.

Ядро WordPress

Уязвимость : SQL-инъекция через WP_Query
Исправлено в версии : 5.8.3
Объяснение: из-за отсутствия надлежащей очистки в WP_Meta_Query существует вероятность слепой инъекции SQL.

Уязвимость была исправлена, поэтому убедитесь, что вы используете WordPress 5.8.3.

Уязвимость : автор + хранит XSS через почтовые слаги
Исправлено в версии : 5.8.3
Объяснение: Аутентифицированные пользователи с низким уровнем привилегий (например, автор) в ядре WordPress могут выполнять JavaScript/выполнять сохраненную XSS-атаку с помощью слагов сообщений, что может повлиять на пользователей с высоким уровнем привилегий.

Уязвимость была исправлена, поэтому убедитесь, что вы используете WordPress 5.8.3.

Уязвимость : внедрение объектов суперадминистратора в мультисайты
Исправлено в версии : 5.8.3
Объяснение. На мультисайте пользователи с ролью суперадминистратора могут при определенных условиях обойти явное/дополнительное усиление защиты посредством внедрения объектов.

Уязвимость была исправлена, поэтому убедитесь, что вы используете WordPress 5.8.3.

Уязвимость : SQL-инъекция через WP_Meta_Query
Исправлено в версии : 5.8.3
Объяснение: из-за отсутствия надлежащей очистки в WP_Meta_Query существует вероятность слепой инъекции SQL.

Уязвимость была исправлена, поэтому убедитесь, что вы используете WordPress 5.8.3.

Уязвимости плагинов WordPress

В этом разделе были раскрыты последние уязвимости плагинов WordPress. Список каждого подключаемого модуля включает тип уязвимости, активные установки, номер версии, если она исправлена, и рейтинг серьезности.

1. Поддержка SVG

Плагин: Поддержка SVG
Уязвимость : межсайтовый скриптинг, хранимый администратором+
Активная установка : 800 000+
Исправлено в версии : 2.3.20
Оценка серьезности : низкая

Уязвимость исправлена, поэтому вам следует обновиться до версии 2.3.20.

2. Очистка активов

Плагин: Очистка активов
Уязвимость : отраженный межсайтовый скриптинг через действие AJAX
Активная установка : 100 000+
Исправлено в версии : 1.3.8.5
Оценка серьезности : высокая

Уязвимость исправлена, поэтому следует обновиться до версии 1.3.8.5.

Плагин: Очистка активов
Уязвимость : отраженный межсайтовый скриптинг
Активная установка : 100 000+
Исправлено в версии : 1.3.8.5
Оценка серьезности : средняя

Уязвимость исправлена, поэтому следует обновиться до версии 1.3.8.5.

3. Платное членство Pro

Плагин: Платное членство Pro
Уязвимость : слепая SQL-инъекция без аутентификации
Активная установка : 100 000+
Исправлено в версии : 2.6.7
Оценка серьезности : критическая

Уязвимость исправлена, поэтому вам следует обновиться до версии 2.6.7.

4. NextScripts: автопостер социальных сетей

Плагин: NextScripts: Автопостер социальных сетей
Уязвимость : произвольное удаление сообщений через CSRF
Активная установка : 90 000+
Исправлено в версии : 4.3.25
Оценка серьезности : средняя

Уязвимость исправлена, поэтому вам следует обновиться до версии 4.3.25.

Плагин: NextScripts: Автопостер социальных сетей
Уязвимость : неаутентифицированный сохраненный XSS
Активная установка : 90 000+
Исправлено в версии : 4.3.25
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 4.3.25.

5. Поиск цвета слоновой кости

Плагин: Поиск цвета слоновой кости
Уязвимость : Contributor+ Сохраненный межсайтовый скриптинг
Активная установка : 80 000+
Исправлено в версии : 5.4.1
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 5.4.1.

6. Легкая социальная лента

Плагин: Easy Social Feed
Уязвимость : отраженный межсайтовый скриптинг (XSS)
Активная установка : 70 000+
Исправлено в версии : 6.2.7
Оценка серьезности : высокая

Уязвимость исправлена, поэтому следует обновиться до версии 6.2.7.

7. Визуальный редактор стилей CSS

Плагин: Визуальный редактор стилей CSS
Уязвимость : отраженный межсайтовый скриптинг
Активная установка : 50 000+
Исправлено в версии : 7.5.4
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 7.5.4.

8. Записи контактной формы

Плагин: Записи контактной формы
Уязвимость : неаутентифицированный сохраненный межсайтовый скриптинг
Активная установка : 40 000+
Исправлено в версии : 1.1.7
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 1.1.7.

9. Расширенный менеджер Cron

Плагин: Расширенный менеджер Cron
Уязвимость : подписчик+ произвольные события/расписание создания/удаления
Активная установка : 30 000+
Исправлено в версии : 2.4.2
Оценка серьезности : средняя

Уязвимость исправлена, поэтому вам следует обновиться до версии 2.4.2.

10. WPLegalPages

Плагин: WPLegalPages
Уязвимость : обновление произвольных настроек подписчика + для сохраненного XSS
Активная установка : 20 000+
Исправлено в версии : 2.7.1
Оценка серьезности : средняя

Уязвимость исправлена, поэтому вам следует обновиться до версии 2.7.1.

11. Статистика посетителей WP (трафик в реальном времени)

Плагин: Статистика посетителей WP (трафик в реальном времени)
Уязвимость : подписчик + SQL-инъекция
Активная установка : 20 000+
Исправлено в версии : 4.8
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 4.8.

12. Злые папки

Плагин: Злые папки
Уязвимость : подписчик + SQL-инъекция
Активная установка : 10 000+
Исправлено в версии : 2.8.10
Оценка серьезности : высокая

Уязвимость исправлена, поэтому вам следует обновиться до версии 2.8.10.

13. Поддержка конфет

Плагин: SupportCandy
Уязвимость : Contributor+ Сохраненный межсайтовый скриптинг
Активная установка : 10 000+
Исправлено в версии : 2.2.7
Оценка серьезности : средняя