WordPress 漏洞報告：2021 年 12 月，第 1 部分
已發表: 2021-12-02易受攻擊的插件和主題是 WordPress 網站被黑客入侵的第一大原因。 由 WPScan 提供支持的每週 WordPress 漏洞報告涵蓋最近的 WordPress 插件、主題和核心漏洞，以及如果您在網站上運行易受攻擊的插件或主題之一該怎麼辦。
每個漏洞的嚴重性等級為“低”、 “中” 、“高”或“嚴重” 。 負責任地披露和報告漏洞是保持 WordPress 社區安全的一個組成部分。
請與您的朋友分享這篇文章，以幫助宣傳並讓每個人都更安全地使用 WordPress。
WordPress 託管：GoDaddy 被黑
在 2021 年 11 月 21 日發布的安全披露中，GoDaddy 表示，在黑客獲得對其託管 WordPress 託管平台的訪問權限後，多達 120 萬活躍和非活躍客戶被暴露。
我們寫了一篇文章來解開最近的 GoDaddy 黑客攻擊的一些細節，它如何影響客戶，以及如果您是 GoDaddy 的 WordPress 託管客戶，我們對如何做的建議。
WordPress 核心漏洞
最新版本的 WordPress 核心是 5.8.2。 作為最佳實踐，請始終確保運行最新版本的 WordPress 核心！
WordPress 插件漏洞
在本節中，已經披露了最新的 WordPress 插件漏洞。 每個插件列表都包括漏洞類型、補丁版本號和嚴重等級。
1. 標誌輪播
插件：徽標輪播
漏洞：貢獻者+存儲的跨站點腳本
補丁版本：3.4.2
嚴重性評分：中
插件：徽標輪播
漏洞：未經授權的私人帖子訪問
補丁版本：3.4.2
嚴重性評分：中
2. Ni WooCommerce 自定義訂單狀態
插件： Ni WooCommerce 自定義訂單狀態
漏洞：訂閱者+ SQL 注入
補丁版本：1.9.7
嚴重性評分：高
3.WCFM
插件： WCFM
漏洞：未經身份驗證的 SQL 注入
補丁版本：3.4.12
嚴重性評分：高
4.珠穆朗瑪峰形式
插件：珠穆朗瑪峰形式
漏洞：反射跨站腳本
補丁版本：1.8.0
嚴重性評分：中
5. WP訪客統計（實時流量）
插件： WP 訪客統計（實時流量）
漏洞：訂閱者+ SQL 注入
補丁版本：4.8
嚴重性評分：高
6. 榮譽捐贈
插件：榮譽捐贈
漏洞：通過 CSRF 刪除任意項目
補丁版本：3.1.2
嚴重性評分：高
7. 冰圖
插件： Icegram
漏洞：反射跨站腳本
補丁版本：2.0.5
嚴重性評分：中
8. Blog2Social
插件： Blog2Social
漏洞：反射跨站腳本
補丁版本：6.8.7
嚴重性評分：高
9. 付費會員專業版
插件：付費會員專業版
漏洞：反射跨站腳本
補丁版本：2.6.6
嚴重性評分：高
10. WPFront 用戶角色編輯器
插件： WPFront 用戶角色編輯器
漏洞：反射跨站腳本
補丁版本：3.2.1.11184
嚴重性評分：中
11. 蒂克拉
插件： Ticker
漏洞：未經身份驗證的存儲跨站腳本
補丁版本：3.4.8.3
嚴重性評分：高
12. WP 孔雀魚
插件： WP Guppy
漏洞：敏感信息洩露
補丁版本：1.3
嚴重性評分：高
13.簡單的JWT登錄
插件：簡單的 JWT 登錄
漏洞：不安全的密碼創建
補丁版本：3.3.0
嚴重性評分：低
14.myCRED
插件： myCRED
漏洞：反射跨站腳本
補丁版本：1.7.8
嚴重性評分：高
15. 隱藏我的 WP
插件：隱藏我的 WP
漏洞：未經身份驗證的插件停用
補丁版本：6.2.4
嚴重性評分：中
插件：隱藏我的 WP
漏洞：未經身份驗證的 SQL 注入
補丁版本：6.2.4
嚴重性評分：高
16. 很棒的支持 – WordPress HelpDesk & Support Plugin
插件：很棒的支持 – WordPress HelpDesk & Support Plugin
漏洞：反射跨站腳本
補丁版本： 6.0.7
嚴重性評分：高
17. 顯示帖子元數據
插件：顯示帖子元數據
漏洞：貢獻者+存儲的跨站點腳本
補丁版本：1.5.0
嚴重性評分：中
18. 浮動社交媒體圖標
插件：浮動社交媒體圖標
漏洞：管理員+存儲的跨站點腳本
已修補版本：無已知修復 - 插件已關閉
嚴重性評分：低
19. Gwolle 留言簿
插件： Gwolle 留言簿
漏洞：反射跨站腳本
補丁版本：4.2.0
嚴重性評分：中
如何保護您的 WordPress 網站免受易受攻擊的插件和主題的影響
從這份報告中可以看出，每週都會披露大量新的 WordPress 插件和主題漏洞。 我們知道很難掌握每個報告的漏洞披露，因此 iThemes Security Pro 插件可以輕鬆確保您的網站沒有運行具有已知漏洞的主題、插件或 WordPress 核心版本。
1. 安裝 iThemes Security Pro 插件
iThemes Security Pro 插件可強化您的 WordPress 網站，使其免受網站被黑客入侵的最常見方式。 通過 30 多種方法在一個易於使用的插件中保護您的網站。
2.啟用站點掃描以檢查已知漏洞
iThemes Security Pro 中的版本管理功能與站點掃描集成以保護您的站點。 易受攻擊的主題、插件和 WordPress 核心版本將自動為您更新。
3.激活文件更改檢測
快速發現安全漏洞的關鍵是監控您網站上的文件更改。 iThemes Security Pro 中的文件更改檢測功能將掃描您網站的文件，並在您的網站發生更改時提醒您。
獲取具有 24/7 網站安全監控的 iThemes Security Pro
iThemes Security Pro 是我們的 WordPress 安全插件，提供 50 多種方法來保護您的網站免受常見 WordPress 安全漏洞的侵害。 借助 WordPress、雙重身份驗證、暴力破解保護、強密碼強制執行等，您可以為您的網站添加額外的安全層。
