Rapporto sulla vulnerabilità di WordPress: maggio 2021

Plugin e temi vulnerabili sono la ragione principale per cui i siti Web di WordPress vengono violati.

Questo rapporto copre i recenti plugin, temi e vulnerabilità principali di WordPress e cosa fare se esegui uno dei plugin o temi vulnerabili sul tuo sito web. Ogni vulnerabilità include un livello di gravità di Bassa, Media, Alta o Critica.

La divulgazione e la segnalazione responsabili delle vulnerabilità è parte integrante del mantenimento della sicurezza della comunità di WordPress.

Per favore condividi questo post con i tuoi amici per aiutarti a spargere la voce e rendere WordPress più sicuro per tutti!

Vulnerabilità principali di WordPress
Nessuna nuova vulnerabilità principale di WordPress è stata rivelata questo mese.

Vulnerabilità dei plugin di WordPress

  1. Simple Admin Language Change
    Plugin: Simple Admin Language Change
    Vulnerabilità: modifica arbitraria delle impostazioni locali dell’utente
    Patchato nella versione: 2.0.2
    Punteggio di gravità: 4,3 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 2.0.2+.
  2. Ship to eCourier
    Plugin: Ship to eCourier
    Vulnerabilità: aggiornamento delle impostazioni del plug-in tramite CSRF
    Patchato nella versione: 1.0.2
    Punteggio di gravità: 5,4 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.0.2+.
  3. Parcel Tracker eCourier
    Plugin: Parcel Tracker eCourier
    Vulnerabilità: aggiornamento delle impostazioni del plug-in tramite CSRF
    Patchato nella versione: 1.0.2
    Punteggio di gravità: 5,4 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.0.2+.
  4. PickPlugins Product Slider for WooCommerce
    Plugin: PickPlugins Product Slider for WooCommerce
    Vulnerabilità: cross-site scripting riflesso
    Patchato nella versione: 1.13.22
    Punteggio di gravità: 7,1 Alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.13.22+.
  5. Hana Flv Player
    Plugin: Hana Flv Player
    Vulnerabilità: script cross-site archiviato autenticato Versione con patch: nessuna correzione nota Punteggio di gravità: 3,8 basso
    Questa vulnerabilità NON è stata corretta. Disinstalla ed elimina il plug-in fino al rilascio di una patch.
  6. Hotjar Connecticator
    Plugin: Hotjar Connecticator
    Vulnerabilità: script cross-site archiviato autenticato Versione con patch: nessuna correzione nota – plugin chiuso
    Punteggio di gravità: 3,8 basso
    Questa vulnerabilità NON è stata corretta. Disinstalla ed elimina il plug-in fino al rilascio di una patch.
  7. GA Google Analytics
    Plugin: GA Google Analytics
    Vulnerabilità: script cross-site archiviato autenticato
    Versione con patch: nessuna correzione nota
    Punteggio di gravità: 5,9 medio
    Questa vulnerabilità NON è stata corretta. Disinstalla ed elimina il plug-in fino al rilascio di una patch.
  8. Target First Plugin
    Plugin: Target First Plugin
    Vulnerabilità: script cross-site archiviato non autenticato tramite chiave di licenza Patchato nella versione: 1.0
    Punteggio di gravità: 7,2 alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.0+.
  9. Leads-5050 Visitor Insights
    Plugin: Leads-5050 Visitor Insights
    Insights Vulnerabilità: modifica della licenza non autorizzata
    Patchato nella versione: 1.1.0
    Punteggio di gravità: 7,1 Alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.1.0+.
  10. DSGVO All in one for WP
    Plugin: DSGVO All in one for WP
    Vulnerabilità: script cross-site archiviato non autenticato
    Patchato nella versione: 4.0
    Punteggio di gravità: 8,3 Alto La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 4.0+.
  11. UltimateWoo
    Plugin: UltimateWoo
    Vulnerabilità: PHP Object Injection
    Versione con patch: nessuna correzione nota – plugin chiuso
    Punteggio di gravità: 5,6 medio
    Questa vulnerabilità NON è stata corretta.Disinstalla ed elimina il plug-in fino al rilascio di una patch.
  12. Ultimate Member
    Plugin: Ultimate Member
    Vulnerabilità: scripting cross-site riflesso autenticato
    Patchato nella versione: 2.1.20
    Punteggio di gravità: 4,4 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 2.1.20+.
  13. Autoptimize
    Plugin: Autoptimize
    Vulnerabilità: script cross-site archiviato autenticato
    Patchato nella versione: 2.8.4 Punteggio di gravità: 6,6 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 2.8.4+.
  14. Zlick Paywall
    Plugin: Zlick Paywall
    Vulnerabilità: CSRF Bypass
    Patchato nella versione: 2.2.2
    Punteggio di gravità: 3,1 basso
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 2.2.2+.
  15. ThemeHigh WooCommerce Wishlist and Comparison
    Plugin: ThemeHigh WooCommerce Wishlist and Comparison
    Vulnerabilità: chiamata AJAX non autorizzata
    Patchato nella versione: 1.0.5
    Punteggio di gravità: 7,2 alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 1.0.5+.
  16. Simple Giveaways
    Plugin: Simple Giveaways
    Patchato nella versione: 2.36.2
    Punteggio di gravità: 7,1 Alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 2.36.2+.
  17. ReDi Restaurant Reservations
    Vulnerabilità: ReDi Restaurant Reservations
    Patchato nella versione: 21.0426
    Punteggio di gravità: 7,1 Alto
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 21.0426+.
  18. All in One SEO Pack
    Plugin: All in One SEO Pack
    Vulnerabilità: esecuzione di codice remoto
    Patchato nella versione: 4.1.0.2
    Punteggio di gravità: 6.6 medio
    La vulnerabilità è stata corretta, quindi è necessario eseguire l’aggiornamento alla versione 4.1.0.2+.
  19. LifterLMS
    Plugin: LifterLMS
    Vulnerabilità: Authenticated Stored Cross-Site Scripting in Edit Profile
    Patchato nella versione: 4.21.1
    Punteggio di gravità: 7.4 Alto
    Vulnerabilità: Reflected Cross-Site Scripting via Coupon Code in Checkout
    Patchato nella versione: 4.21.1
    Punteggio di gravità: 6.1 Medium

 

Fonte originale:Ithemes.com

Scritto da Michael Moore il 12 maggio 2021

Ultimo aggiornamento il 12 maggio 2021

Vulnerabilità WordPress round up: giugno 2019, Parte 1

Vulnerabilità Wordpress

Nuove Vulnerabilità WordPress che interessano  plugin e temi sono stati divulgati durante questo mese, eccole a seguire:

Vulnerabilità plug-in WordPress

Diverse nuove vulnerabilità WordPress nei plug-in sono state scoperte durante questo mese. Assicurati di seguire l’azione suggerita qui sotto per aggiornare il plugin o disinstallarlo completamente.

1. WP Statistics

WP Statistics plugin, versione 12.6.5, ed inferiore, vulnerabile al cross-site scripting.

Cosa dovresti fare?

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 12.6.6.1.

2. Paid Memberships Pro

Paid Memberships Pro plugin 2.0.5 e inferiore è vulnerabile a reindirizzamenti non convalidati, infatti Il plugin stava usando wp_redirect in luoghi in cui avrebbero dovuto usare wp_safe_redirect.

L’utilizzo della funzione wp_safe_redirect() impedisce reindirizzamenti dannosi ad altri host

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.0.6.

3. Crelly Slider

Crelly Slider plugin versione 1.3.4 e inferiore è vulnerabile a un è vulnerabile a un attacco di caricamento file arbitrario non autenticato. La vulnerabilità ha permesso agli abbonati di caricare ed eseguire uno script potenzialmente dannoso, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 1.3.5.

4. Breadcrumbs

Breadcrumbs versione 1.0.1 e inferiore aveva tre diverse vulnerabilità divulgate questo mese. Il plugin era vulnerabile a un XXS, e Cross-Site Request Forgery attack
Se un utente malintenzionato avesse sfruttato le vulnerabilità, sarebbe stato in grado di modificare le impostazioni di Breadcrumb, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

Le vulnerabilità sono state patchate. Eseguire l’aggiornamento alla versione 1.0.3.

5. Easy Digital Download

Easy Digital Downloads versione 2.9.16 e inferiore è vulnerabile a un attacco XSS memorizzato, dunque pericoloso per la tua sicurezza. La vulnerabilità potrebbe consentire un attacco Cross Site Scripting sugli indirizzi IP per i registri, dunque pericoloso per la tua sicurezza.
Cosa dovresti fare
La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.9.16.

6. WordPress Download Manager

WordPress Download Manager versione 2.9.96 e inferiore ha vulnerabilità all’infezione di input con il modello e-mail e le impostazioni del pacchetto, dunque pericoloso per la tua sicurezza.
Cosa dovresti fare
La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.9.97.

7. Affiliates Manager

Affiliates Manager versione 2.6.5 e inferiore è vulnerabile a un attacco di contraffazione richiesta tra siti. Nel plugin mancano i controlli di sicurezza appropriati e i nonces nelle impostazioni.

Il campo nonce viene utilizzato per convalidare che il contenuto della richiesta del modulo provenga dal sito corrente e non da un’altra posizione.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 2.6.6.

8. Related YT Videos

Related YT Videos versione 1.9.8 e successive sono vulnerabili a un attacco Cross-Site Request Forgery e XSS. Il plugin mancava dei nonces e dellla sanificazione corretta, dunque pericoloso per la tua sicurezza.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 1.9.9.

9. WP Google Maps

WP Google Maps versione 7.11.27 e inferiore è vulnerabile a un attacco di contraffazione richiesta tra siti. Nel modulo delle impostazioni sull’azione post amministratore mancava un nonce.

Il campo nonce viene utilizzato per convalidare che il contenuto della richiesta del modulo provenga dal sito corrente e non da un’altra posizione.

Cosa dovresti fare

La vulnerabilità è stata patchata. Eseguire l’aggiornamento alla versione 7.11.28

Come sempre, questi sono i nostri consigli sulle vulnerabilità wordpress, se hai bisogno di noi puoi contattarci qui.

Fonte: (Originale) Ithemes.com

Riepilogo vulnerabilità di wordpress: maggio 2019 Parte II°

Con questo articolo vogliamo tenerti informato sulle vulnerabilità di wordpress (Plugin e temi)che sono state divulgate durante l’ultima metà del mese di maggio 2019

Vulnerabilità dei plugin di WordPress

Sono state scoperte diverse nuove vulnerabilità dei plugin per  WordPress. Assicurati di seguire l’azione suggerita per aggiornare il plugin o disinstallarlo completamente.

1. Live Chat with Facebook Messenger by zotabox

Il Live Chat with Facebook Messenger, versione 1.4.6 e seguenti, è vulnerabile a un attacco di scripting cross-site.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 1.4.7.

2. Newsletter Manager by xyzscripts.com
Il plugin di Newsletter Manager è vulnerabile a un reindirizzamento aperto non autenticato. L’input dell’evento non è stato disinfettato, creando un exploit XSS.
WordPress.org ha chiuso il plugin di Newsletter Manager, quindi rimuovi il plugin e trova una sostituzione.

3. ConvertPlus
Convert Plus versione 3.4.2 e inferiore è vulnerabile a un attacco di creazione di un ruolo utente arbitrario non autenticato. Utilizzando l’exploit, gli aggressori possono creare nuovi utenti Admin senza nemmeno dover accedere al tuo sito web. Una volta che un cattivo utente ha accesso amministrativo al tuo sito, può reindirizzare i visitatori del tuo sito a siti dannosi, bloccare l’accesso e aggiungere malware al tuo sito.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 3.4.3.

4. WP Booking System
Il plug-in del sistema di prenotazione di WP versione 1.5.1.1 e inferiore è vulnerabile a un attacco di contraffazione di richiesta tra siti. I sistemi di prenotazione di WP non includevano gli attacchi CSRF che avrebbero potuto portare a un utente malintenzionato di ignorare i requisiti di privilegio dell’amministratore ed eseguire un’iniezione SQL.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 1.5.2.

5. FV Flowplayer Video Player
La versione 7.3.14.727 di Video Player di FV Flowplayer e versioni successive aveva tre diverse vulnerabilità divulgate questo mese. Il plugin era vulnerabile agli attacchi XSS, SQL Injection e CSV Export non autenticati.
Se un utente malintenzionato ha sfruttato le vulnerabilità, avrebbe consentito loro di fornire un input e-mail e di visualizzarlo nella schermata di esportazione della posta elettronica. La vulnerabilità di SQL Injection era legata all’abbonamento alla posta elettronica e la terza vulnerabilità consentiva agli utenti ospiti di creare un’esportazione CSV dell’abbonamento alla posta elettronica.
Le vulnerabilità sono state corrette e si dovrebbe aggiornare alla versione 7.3.15.727.

6. Slimstat Analytics
Slimstat Analytics versione 4.8 e inferiore è vulnerabile a un attacco XSS memorizzato non autenticato. La vulnerabilità consentirebbe a qualsiasi visitatore del sito di inserire codice JavaScript arbitrario nel log di accesso dei plug-in. Come riportato da Sucuri:

Un utente malintenzionato potrebbe creare una richiesta di analisi fingendo che il suo browser abbia un plug-in appositamente predisposto per inserire codice arbitrario nel registro di accesso del plugin. Questo verrà eseguito una volta che un amministratore accede.

La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 4.8.1.

7. Form Maker by 10Web

Form Maker di 10Web versione 1.13.2 e seguenti è vulnerabile a un’iniezione SQL autenticata. Come riportato da Daniele Scanu, sarebbe possibile eseguire un’iniezione SQL nella funzione get_labels_parameters nel file `form-maker / admin / models / Submissions_fm.php` con un valore artigianale del parametro asc_or_desc.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 1.13.3.

8. Simple File List Plugin
Simple File List Plugin versione 3.2.4 e inferiore è vulnerabile a un attacco di download di file arbitrario non autenticati. La vulnerabilità consente a qualsiasi utente che conosce la richiesta di scaricare l’elenco di file, che può esporre informazioni riservate.
La vulnerabilità è stata corretta e si dovrebbe aggiornare alla versione 3.2.4.

9. Slick Popup
Slick Popup è vulnerabile a un attacco di escalation di privilegi. La vulnerabilità consente agli abbonati di creare un account amministratore con credenziali di accesso hardcoded. Puoi utilizzare questa combinazione di HERNCODED USERNAME e PASSWORD.
Nome utente: slickpopupteam (Più simile a non-slick)
Password: OmakPass13#
WordPress.org ha chiuso Slick Popup Manager nel maggio 2019, quindi suggerirei di rimuovere il plug-in e trovare una sostituzione.

10. Hustle Pop-Ups, Slide-ins and Email Opt-ins
La versione 6.0.7 e inferiore di Hustle è vulnerabile a un attacco di Injection CSV non autenticato. L’exploit consente a un utente malintenzionato di immettere codice dannoso in una finestra popup. L’attore malintenzionato potrebbe quindi iniettare codice dannoso sul computer dell’amministratore tramite una funzione di Excel.
La vulnerabilità è stata riparata e si dovrebbe aggiornare alla versione 6.0.8.1.

Conclusioni

Concludiamo ricordandoti che il software obsoleto è il numero uno dei motivi per cui i siti vengono violati. Purtroppo due delle vulnerabilità rivelate in questo articolo non sono state riparate. Lasciare software obsoleto sul tuo sito ti lascerà vulnerabile agli attacchi rimuovi i plugin che ti abbiamo segnalato e se non sai quale strada alternativa percorrere non esitare a contattarci.

Fonte: ithemes.com
Traduzione: NOVA SYSTEMI