Журнал безопасности WordPress - список уязвимостей безопасности WordPress

1. 4 августа 2015 г. - Уязвимость в основном WordPress Core XSS
2. 21 апреля 2015 г. - Основные плагины WordPress уязвимы для взлома XSS
3. 12 марта 2015 г. - Уязвимость в Yoast WordPress SEO Plugin, связанная с безопасностью
4. 27 февраля 2015 г. - Уязвимость плагина Gravity Forms
5. 25 февраля 2015 г. - Уязвимость плагина WP Slimstat
6. 5 февраля 2015 г. - Уязвимость плагина Fancybox-for-WordPress для безопасности

Уязвимости безопасности в WordPress представляют собой серьезную угрозу, и необходимо предпринимать все меры для предотвращения и реагирования на проблемы по мере их объявления. Мы держим руку на пульсе сообщества WordPress, чтобы держать вас в курсе о рисках безопасности и о том, как реагировать.

Обязательно обновляйте WordPress и все темы и плагины, так как это лучший способ предотвратить компрометацию сайта. Мы также составили список других советов по безопасности, чтобы ваш сайт был в надежных руках.

Ниже приведен список нарушений безопасности и обновлений по состоянию на 4 августа 2015 года .

4 августа 2015 г. - Уязвимость в основном WordPress Core XSS

«WordPress 4.2.4 теперь доступен. Это релиз безопасности для всех предыдущих версий, и мы настоятельно рекомендуем вам немедленно обновить свои сайты.

В этом выпуске рассматриваются шесть проблем, в том числе три уязвимости межсайтового скриптинга и потенциальная инъекция SQL, которая может быть использована для взлома сайта, обнаруженная Марк-Александр Монпас Сукури, Хелен Хоу-Санди из команды безопасности WordPress, Нетанел Рубин контрольной точки, и Иван Григоров , Он также включает исправление для потенциальной синхронизации побочного канала, обнаруженной Йоханнес Шмитт Scrutinizer и не позволяет злоумышленнику заблокировать редактирование сообщения, обнаруженного Мохамед А. Басет ." с помощью Новости WordPress

21 апреля 2015 г. - Основные плагины WordPress уязвимы для взлома XSS

Ранее на этой неделе разработчики ядра WordPress работали с разработчиками плагинов, чтобы незаметно решить проблему. Большая уязвимость межсайтового скриптинга (XSS) затрагивает, по крайней мере, 17 из 400 лучших плагинов - это может затронуть еще больше. Проблема была вызвана вводящей в заблуждение записью кодекса WordPress, в которой описаны важные функции add_query_arg () и remove_query_arg () . Это позволит создать специально созданный URL-адрес для вставки кода JavaScript на ваш сайт.

В настоящее время это список уязвимых плагинов:

Были выпущены обновления для всех этих плагинов, и пользователям WordPress настоятельно рекомендуется обновить свои плагины немедленно. 99 Robots ответили на проблему и обновили все плагины для своих поддерживаемых сайтов.

12 марта 2015 г. - Уязвимость в Yoast WordPress SEO Plugin, связанная с безопасностью

WPScan черный сканер уязвимостей WordPress обнаружил серьезная угроза к плагину WordPress SEO by Yoast (v1.7.3.3), который установлен на более 1 миллиона активных сайтов.

Угроза позволяет гнусным пользователям вводить операторы SQL в базу данных и может привести к полной компрометации веб-сайта.

Команда Yoast быстро отреагировала на угрозу, опубликовав новую версию своего плагина (1.7.4) с изменениями, которые предотвратят инъекции.

Владельцам сайтов настоятельно рекомендуется обновить плагин немедленно, чтобы предотвратить нанесение вреда их веб-сайтам.

Компания 99 Robots обновила все веб-сайты клиентов в ответ на уязвимость.

27 февраля 2015 г. - Уязвимость плагина Gravity Forms

Сукури обнаружил уязвимость с помощью гравитационных форм популярный плагин премиум-форм, который позволяет сторонним агентам загружать файлы на ваш сервер.

Обнаружив недостаток, Gravity Forms опубликовал исправление, чтобы исправить проблему, и теперь пользователям настоятельно рекомендуется обновить их немедленно. Любой сайт, на котором выполняются автоматические обновления, будет немедленно исправлен, но если эта функция отключена, пожалуйста, обновите.

Проверяя наши сайты, мы обнаружили, что многие пользователи, в том числе и наши собственные, работали с устаревшей версией Gravity Forms. Мы обновили все сайты и уведомили их владельцев.

Сайты, работающие Cloudflare тем не менее защищены от этих типов атак.

25 февраля 2015 г. - Уязвимость плагина WP Slimstat

Опекуны безопасности WordPress Sucuri обнаружили потенциально катастрофический уязвимость в WP Slimstat - популярный плагин для аналитики на более чем 1 000 000 веб-сайтов WordPress.

Уязвимость, описываемая как «слабые криптографические ключи, приводящие к инъекциям SQL», получила оценку 8/10 с точки зрения серьезности и может привести к краже имен пользователей, паролей и других данных с вашего сайта, что приведет к полному захвату сайта.

WP Slimstat исправил эту уязвимость, и всем владельцам сайтов настоятельно рекомендуется обновить их как можно скорее, чтобы избежать атаки.

Мы лично проверили все сайты наших клиентов по обслуживанию, и эта уязвимость ни на кого не повлияла.

5 февраля 2015 г. - Уязвимость плагина Fancybox-for-WordPress для безопасности

Теперь удаленный из репозитория плагинов WordPress.org, плагин Fancybox-for-WordPress уязвим для серьезной атаки вредоносного ПО. Плагин, который загружается более 550 000 раз, является серьезной проблемой безопасности для незащищенных сайтов.

Проблема была первоначально обнаруженный исследовательской группой Sucuri, но, к сожалению, уязвимость уже использовалась во многих случаях - оставляя вредоносный фрейм на сайтах жертвы. К счастью, многие сайты используют Sucuri плагин брандмауэра или услуги, такие как Cloudflare блокируют вредоносные программы.

Плагин остается не исправленным, поэтому, пожалуйста, удалите его как можно скорее, чтобы избежать дальнейшего вреда. Текущий 99 роботов клиенты были защищены от этой атаки, и плагин, если установлен, был удален.

[nnr_content_fire id = ”2 ″]

Похожие

Комментарии