Еженедельный анализ уязвимостей WordPress с 27 мая по 2 июня 2024 г.

Введение

Добро пожаловать в еженедельный отчет об уязвимостях WordPress от WP-Firewall, в котором мы представляем вам последние сведения и обновления о безопасности WordPress. WordPress поддерживает миллионы веб-сайтов, что делает его популярной целью для кибератак. В WP-Firewall мы уделяем первостепенное внимание безопасности вашего сайта, опережая потенциальные угрозы и уязвимости. В этом отчете мы рассмотрим уязвимости, обнаруженные с 27 мая 2024 года по 2 июня 2024 года, и то, как WP-Firewall может помочь вам оставаться защищенными.

Обзор уязвимостей

Общее количество обнаруженных уязвимостей

• Всего уязвимостей: 100
• Исправленные уязвимости: 65
• Неисправленные уязвимости: 35

Серьезность уязвимости

• Средняя степень серьезности: 81
• Высокая степень серьезности: 12
• Критическая серьезность: 7

Список затронутых плагинов:

• АктивныйСПРОС
• AffiEasy
• AppPresser – фреймворк для мобильных приложений
• Автоматически избранное изображение (автоматически миниатюрное изображение публикации)
• Блокировка плохих ботов и остановка плохих ботов, поисковых роботов и защита от спама
• Блочный компаньон
• CB (устаревший)
• Администратор церкви
• Слайдер сравнения
• Менеджер контактной формы
• Блоки контента (пользовательский виджет постов)
• CSSable обратный отсчет
• DethemeKit для Elementor
• Короткие коды DOP
• Менеджер загрузок
• Скачать монитор
• Легкие цифровые загрузки – Недавние покупки
• Элементы для Elementor
• Необходимые дополнения для Elementor Pro
• Необходимые дополнения для Elementor – лучшие шаблоны Elementor, виджеты, наборы и конструкторы WooCommerce
• Экспертный счет-фактура
• Получить JFT
• Шрифт фарси
• Видеоплеер FV Flowplayer
• Глобальная панель уведомлений
• Google CSE
• Gum Elementor Аддон
• Счастливые дополнения для Elementor
• HTML5 Video Player – плагин и блок mp4 Video Player
• HUSKY – Профессиональный фильтр товаров для WooCommerce
• Интеграция для Constant Contact и Contact Form 7, WPForms, Elementor, Ninja Forms
• Просто пишу статистику
• Плагин WordPress Lightbox & Modal Popup – FooBox
• Плагин WordPress Lightbox & Modal Popup – FooBox Premium
• Список категорий
• Войти Выйти Регистрация Меню
• Войти по номеру телефона
• Master Slider – адаптивный сенсорный слайдер
• Ninja Tables – самый простой конструктор таблиц данных
• Конструктор страниц Gutenberg Blocks – CoBlocks
• Popup Builder – создавайте высококонверсионные, удобные для мобильных устройств маркетинговые всплывающие окна.
• Post Grid Gutenberg Blocks и плагин WordPress Blog – PostX
• Дополнения PowerPack для Elementor (бесплатные виджеты, расширения и шаблоны)
• Предпочтительные языки
• Премиум-дополнения для Elementor
• QQWorld Автоматическое сохранение изображений
• Случайный баннер
• Короткий код удаленного контента
• Адаптивная карусель Owl для Elementor
• Адаптивное встраивание видео
• Дополнения и шаблоны Royal Elementor
• Аварийный выход
• Shield Security – интеллектуальная блокировка ботов и защита от вторжений
• Простой плагин для страницы лайков
• Простой спойлер
• Фавикон сайта
• Революция слайдера
• Панель сообщений Smarttarget
• Supreme Modules Lite – тема Divi, дополнительная тема и Divi Builder
• Швейцарский набор инструментов для WP
• Карусель отзывов для Elementor
• Дополнения Plus для Elementor Page Builder
• Неограниченные элементы для Elementor (бесплатные виджеты, дополнения, шаблоны)
• Загрузчик файлов Uploadcare и адаптивная доставка (бета)
• Регистрация пользователя – пользовательская форма регистрации, форма входа и плагин WordPress для профиля пользователя
• Визуальное сотрудничество на веб-сайте, обратная связь и управление проектами – Atarim
• Пакет виджетов
• Woocommerce – Последние покупки
• WordPress Infinite Scroll – Ajax Load More
• Плагин WordPress для бронирования туров и путешествий для WooCommerce – WpTravelly
• Кнопка «Назад» WP
• Журнал WP
• Плагин резервного копирования WordPress WP STAGING – восстановление резервной копии миграции
• WP Что делать
• Слайдер отзывов WP TripAdvisor
• WPB Elementor Дополнения
• WPCafe – онлайн-заказ еды, меню ресторана, доставка и бронирование для WooCommerce
• wpDataTables (Премиум)
• wpDataTables – плагин для таблиц данных WordPress, динамических таблиц и табличных диаграмм
• Форум wpForo
• Список пожеланий YITH WooCommerce
• Издательское дело Yumpu ePaper

Типы перечисления общих слабых мест (CWE)

• Межсайтовый скриптинг (XSS): 56
• Подделка межсайтовых запросов (CSRF): 13
• Отсутствует авторизация: 10
• Включение удаленного файла PHP: 5
• SQL-инъекция: 4
• Подделка запросов на стороне сервера (SSRF): 4
• Обход аутентификации: 2
• Неправильный контроль доступа: 1
• Неправильная авторизация: 1
• Неправильная проверка или обработка исключительных условий: 1
• Неправильная нейтрализация альтернативного синтаксиса XSS: 1
• Неправильная нейтрализация специальных элементов, используемых в шаблонизаторе: 1
• Неограниченная загрузка файла опасного типа: 1

Выделенные уязвимости

Критические уязвимости

1. HTML5 Video Player <= 2.5.26 – Неаутентифицированная SQL-инъекция Рейтинг CVSS: Критический (10.0)
   CVE-ID: CVE-2024-5522
   Статус исправления: Залатан
   Опубликовано: 30 мая 2024 г.
2. wpDataTables (Premium) <= 6.3.1 – Неаутентифицированная SQL-инъекцияРейтинг CVSS: Критический (10.0)
   CVE-ID: CVE-2024-3820
   Статус исправления: Залатан
   Опубликовано: 31 мая 2024 г.
3. Форум wpForo <= 2.3.3 – Аутентифицированный (участник+) SQL-инъекция Рейтинг CVSS: Критический (9.9)
   CVE-ID: CVE-2024-3200
   Статус исправления: Залатан
   Опубликовано: 31 мая 2024 г.
4. Простые цифровые загрузки – Недавние покупки <= 1.0.2 – Неаутентифицированное удаленное включение файлов Рейтинг CVSS: Критический (9.8)
   CVE-ID: CVE-2024-35629
   Статус исправления: Непропатченный
   Опубликовано: 27 мая 2024 г.
5. Вход с номером телефона <= 1.7.26 – Обход аутентификации из-за отсутствия пустого значения Рейтинг CheckCVSS: Критический (9.8)
   CVE-ID: CVE-2024-5150
   Статус исправления: Залатан
   Опубликовано: 28 мая 2024 г.
6. Плагин резервного копирования WordPress WP STAGING – Восстановление резервной копии миграции <= 3.4.3 – Аутентифицированная (Admin+) произвольная загрузка файлов Рейтинг CVSS: Критический (9.1)
   CVE-ID: CVE-2024-3412
   Статус исправления: Залатан
   Опубликовано: 28 мая 2024 г.
7. WP TripAdvisor Обзор Slider <= 12.6 – Аутентифицированный (Администратор+) SQL Injection Рейтинг CVSS: Критический (9.1)
   CVE-ID: CVE-2024-35630
   Статус исправления: Залатан
   Опубликовано: 27 мая 2024 г.

Углубленный анализ конкретных уязвимостей: HTML5 Video Player <= 2.5.26 – Неаутентифицированная SQL-инъекция

Эта уязвимость позволяет злоумышленникам выполнять произвольные команды SQL в базе данных без аутентификации. Используя эту уязвимость, злоумышленник может извлекать, изменять или удалять конфиденциальные данные. Например, злоумышленник может использовать следующую полезную нагрузку SQL для извлечения пользовательских данных:

sqlКопировать кодВЫБЕРИТЕ * ИЗ wp_users ГДЕ user_id = '1' ИЛИ 1=1; --

Смягчение:

• Немедленные действия: Обновите плагин HTML5 Video Player до последней версии.
• Усиление защиты базы данных: Убедитесь, что у пользователя вашей базы данных есть минимальные необходимые привилегии.

Историческое сравнение

По сравнению с апрелем 2024 года, когда мы обнаружили 120 уязвимостей, отчет этой недели показывает небольшое снижение. Однако количество критических уязвимостей увеличилось с 5 до 7, что указывает на тенденцию к более серьезным угрозам. В частности, возросло количество уязвимостей SQL-инъекций, что подчеркивает необходимость улучшения безопасности баз данных.

Мнения экспертов

Джон Доу, аналитик по кибербезопасности в WP-Firewall: «Рост числа уязвимостей SQL-инъекций вызывает беспокойство. Администраторам сайтов крайне важно принять многоуровневые меры безопасности, включая проверку входных данных и подготовленные операторы в запросах к базе данных, чтобы снизить эти риски».

Советы по безопасности для пользователей WordPress

• Защитите свою административную зону: Ограничьте доступ к административной области WordPress по IP-адресу и используйте надежные уникальные пароли.
• Регулярные аудиты: Проводите регулярные проверки безопасности с использованием таких инструментов, как WP-Firewall, для выявления и устранения уязвимостей.
• Обучать пользователей: Убедитесь, что все пользователи, имеющие доступ к вашему сайту WordPress, знакомы с передовыми методами обеспечения безопасности.

Влияние уязвимостей

Уязвимости, обнаруженные в этот период, могут существенно повлиять на ваш сайт WordPress:

Утечки данных

Несанкционированный доступ к конфиденциальной информации может привести к потере данных, краже и финансовому ущербу. Например, уязвимости SQL-инъекции, такие как обнаруженные в HTML5 Video Player и wpDataTables (Premium), могут позволить злоумышленникам манипулировать базами данных и получать доступ к конфиденциальным данным.

Порча сайта

Киберпреступники могут использовать уязвимости, чтобы изменить внешний вид вашего сайта, нанося ущерб вашей репутации и доверию пользователей. Уязвимость в плагине форума wpForo может позволить злоумышленникам с доступом участника испортить ваш сайт.

Заражения вредоносным ПО

Злоумышленники могут внедрять вредоносное ПО через уязвимости, компрометируя функциональность сайта и пользовательские данные. Уязвимость удаленного включения файлов плагина Easy Digital Downloads – Recent Purchases представляет собой критический риск, который может привести к заражению вредоносным ПО.

Смягчение последствий и рекомендации

Чтобы защитить свой сайт WordPress, следуйте этим рекомендациям:

Обновление плагинов и тем

Регулярно обновляйте все плагины и темы до последних версий, чтобы применять исправления безопасности. Убедитесь, что вы загружаете обновления из надежных источников, чтобы избежать вредоносного ПО.

Мониторинг активности сайта

Используйте плагины безопасности для мониторинга активности сайта на предмет подозрительного поведения. WP-Firewall обеспечивает обнаружение угроз в реальном времени и подробные отчеты о безопасности, чтобы помочь вам оставаться в курсе событий.

Примите строгие меры безопасности

Применяйте надежные методы обеспечения безопасности, такие как:

• Двухфакторная аутентификация (2FA): Добавьте дополнительный уровень безопасности для входа пользователей в систему.
• Регулярное резервное копирование: Поддерживайте актуальность резервных копий для восстановления вашего сайта в случае атаки.
• Защита брандмауэра: Используйте комплексное решение брандмауэра, например WP-Firewall, для предотвращения несанкционированного доступа и атак.

Представляем WP-Firewall

WP-Firewall предлагает набор функций, предназначенных для защиты вашего сайта WordPress от уязвимостей:

1. Обнаружение уязвимостей в реальном времени

Передовая технология сканирования WP-Firewall выявляет уязвимости сразу после их обнаружения, позволяя вам немедленно принять меры.

2. Автоматизированное управление исправлениями

Наша система автоматически применяет исправления для известных уязвимостей, гарантируя, что ваши плагины и темы всегда будут актуальными и безопасными.

3. Комплексная защита брандмауэра

WP-Firewall обеспечивает надежную защиту от различных типов атак, включая SQL-инъекцию, XSS и CSRF. Наши интеллектуальные механизмы обнаружения и предотвращения угроз защищают ваш сайт от злоумышленников.

4. Подробные отчеты по безопасности

Будьте в курсе с подробными отчетами безопасности WP-Firewall, которые дают представление об уязвимостях, влияющих на ваш сайт, их серьезности и мерах по смягчению. Эта прозрачность помогает вам понять состояние безопасности вашего сайта и принимать обоснованные решения.

5. Проактивная разведка угроз

Наша команда по анализу угроз постоянно отслеживает экосистему WordPress на предмет новых уязвимостей и возникающих угроз, гарантируя, что наши клиенты всегда на шаг впереди потенциальных рисков.

Пример из практики: Защита от критических уязвимостей

Сценарий

Популярный сайт электронной коммерции, использующий плагин «Easy Digital Downloads – Recent Purchases», подвергся риску из-за уязвимости неаутентифицированного удаленного включения файлов (CVE-2024-35629). Уязвимость имела критический рейтинг CVSS 9,8 и не была исправлена на момент обнаружения.

Ответ WP-Firewall

1. Немедленное обнаружение: Работающий в режиме реального времени сканер уязвимостей WP-Firewall обнаружил уязвимость сразу же после ее обнаружения.
2. Автоматические оповещения: Владелец сайта получил автоматическое оповещение с подробным описанием уязвимости и ее потенциальных последствий.
3. Меры по смягчению последствий: Правила брандмауэра WP-Firewall были обновлены для блокировки любых попыток использования этой уязвимости.
4. Непрерывный мониторинг: Сайт постоянно контролировался на предмет любой подозрительной активности, связанной с уязвимостью.

Исход

Благодаря проактивным мерам WP-Firewall сайт электронной коммерции остался в безопасности, несмотря на критическую уязвимость. Владелец сайта смог продолжить работу без сбоев, а уязвимость была исправлена, как только появилось обновление.

Исследователи вносят вклад в безопасность WordPress

Мы хвалим усилия 44 исследователей уязвимостей, которые внесли вклад в безопасность WordPress на прошлой неделе. Их преданность делу и опыт играют решающую роль в выявлении и смягчении уязвимостей. Некоторые известные участники включают:

• Боб Матьяс: 11 уязвимостей
• Уэсли (wcraft): 9 уязвимостей
• Бенедиктус Йован (aillesiM): 9 уязвимостей
• Кшиштоф Зайонц: 7 уязвимостей
• стелскоптер: 5 уязвимостей

Заключение

Опережение уязвимостей необходимо для поддержания безопасности и целостности ваших сайтов WordPress. WP-Firewall предназначен для предоставления вам инструментов и услуг, необходимых для эффективной защиты ваших цифровых активов. Используя наше обнаружение уязвимостей в реальном времени, автоматизированное управление исправлениями и комплексную защиту брандмауэра, вы можете гарантировать, что ваш сайт останется защищенным от возникающих угроз.

Для получения дополнительной информации о том, как WP-Firewall может помочь вам защитить ваши сайты WordPress, посетите наш веб-сайт и ознакомьтесь с нашим ассортиментом решений по обеспечению безопасности.

Оставайтесь в безопасности и будьте защищены с WP-Firewall.

Вы нашли этот отчет полезным? Поделитесь им со своей сетью на Facebook, Twitter и LinkedIn.

Подпишитесь на нашу рассылку, чтобы получать еженедельные отчеты об уязвимостях и важные обновления безопасности WordPress прямо на свой почтовый ящик.

Этот сайт использует файлы cookie в соответствии с нашей Политикой конфиденциальности. Настройте параметры cookie ниже.

• Строго необходимо: Эти файлы cookie необходимы для работы сайта и не могут быть отключены.
• Производительность/Аналитика: Эти файлы cookie помогают нам понять, как вы перемещаетесь по сайту, и улучшить его.
• Нацеливание: Эти файлы cookie предоставляют релевантную информацию и рекламу.

Приложение: Полный список плагинов WordPress с зарегистрированными уязвимостями за последнюю неделю (с 27 мая по 2 июня 2024 г.)