2024 年 5 月 27 日至 6 月 2 日每周 WordPress 漏洞洞察

介绍

欢迎阅读 WP-Firewall 每周 WordPress 漏洞报告，我们将在此为您带来有关 WordPress 安全的最新见解和更新。WordPress 为数百万个网站提供支持，使其成为网络攻击的热门目标。在 WP-Firewall，我们通过领先于潜在威胁和漏洞来优先考虑您网站的安全性。在本报告中，我们涵盖了 2024 年 5 月 27 日至 2024 年 6 月 2 日披露的漏洞，以及 WP-Firewall 如何帮助您保持保护。

漏洞概述

已报告的漏洞总数

• 总漏洞数： 100
• 已修补的漏洞： 65
• 未修补的漏洞： 35

漏洞严重程度

• 中等严重性： 81
• 高严重性： 12
• 严重程度： 7

受影响插件列表：

• 主动需求
• 安菲易
• AppPresser – 移动应用程序框架
• 自动特色图片（自动发布缩略图）
• 阻止恶意机器人并阻止恶意机器人爬虫和蜘蛛以及反垃圾邮件保护
• Blocksy 伴侣
• CB（遗留）
• 教会行政
• 比较滑块
• 联系表单管理器
• 内容块（自定义帖子小部件）
• CSSable 倒计时
• Elementor 的 DethemeKit
• DOP 短代码
• 下载管理器
• 下载监视器
• 轻松数字下载 – 最近购买
• Elementor 的元素
• Elementor Pro 的基本附加组件
• Elementor 的必备插件 – 最佳 Elementor 模板、小部件、套件和 WooCommerce 构建器
• 专家发票
• 获取 JFT
• 波斯语字体
• FV Flowplayer视频播放器
• 全局通知栏
• Google 自定义搜索引擎
• Gum Elementor 插件
• Elementor 的快乐附加组件
• HTML5 视频播放器 – mp4 视频播放器插件和块
• HUSKY – WooCommerce 专业产品过滤器
• 集成 Constant Contact 和 Contact Form 7、WPForms、Elementor、Ninja Forms
• 只是写统计数据
• 灯箱和模式弹出 WordPress 插件 – FooBox
• 灯箱和模式弹出 WordPress 插件 – FooBox Premium
• 列表类别
• 登录 登出 注册 菜单
• 使用电话号码登录
• Master Slider – 响应式触摸滑块
• Ninja Tables – 最简单的数据表生成器
• 页面构建器 Gutenberg 区块 – CoBlocks
• 弹出窗口生成器 – 创建高转换率、移动友好的营销弹出窗口
• Post Grid Gutenberg Blocks 和 WordPress 博客插件 – PostX
• Elementor 的 PowerPack 插件（免费小部件、扩展和模板）
• 首选语言
• Elementor 的高级附加组件
• QQ世界自动保存图片
• 随机横幅
• 远程内容简码
• 适用于 Elementor 的响应式猫头鹰旋转木马
• 响应式视频嵌入
• Royal Elementor 插件和模板
• 安全出口
• Shield Security – 智能机器人拦截和入侵防御安全
• 简单点赞页面插件
• 简单剧透
• 网站图标
• 滑块革命
• Smarttarget 消息栏
• Supreme Modules Lite – Divi 主题、Extra 主题和 Divi Builder
• WP 瑞士工具包
• Elementor 的推荐轮播
• Elementor 页面构建器的 Plus 附加组件
• Elementor 的无限元素（免费小部件、插件、模板）
• Uploadcare 文件上传器和自适应交付（测试版）
• 用户注册 – 自定义注册表单、登录表单和用户资料 WordPress 插件
• 可视化网站协作、反馈和项目管理 – Atarim
• 小部件包
• Woocommerce – 最近购买
• WordPress 无限滚动 – Ajax 加载更多
• 适用于 WooCommerce 的 WordPress 旅游预订插件 – WpTravelly
• WP 返回按钮
• WP 日志簿
• WP STAGING WordPress 备份插件 – 迁移备份恢复
• WP待办事项
• WP TripAdvisor 评论滑块
• WPB Elementor 插件
• WPCafe – WooCommerce 的在线订餐、餐厅菜单、配送和预订
• wpDataTables（高级版）
• wpDataTables – WordPress 数据表、动态表和表格图表插件
• wpForo 论坛
• YITH WooCommerce 愿望清单
• Yumpu 电子报出版

常见弱点枚举 (CWE) 类型

• 跨站点脚本 (XSS)： 56
• 跨站请求伪造（CSRF）： 13
• 缺少授权： 10
• PHP 远程文件包含： 5
• SQL注入： 4
• 服务器端请求伪造（SSRF）： 4
• 身份验证绕过： 2
• 访问控制不当： 1
• 授权不当： 1
• 检查不当或异常情况处理： 1
• 替代 XSS 语法的不正确中和： 1
• 模板引擎中使用的特殊元素中和不当： 1
• 无限制上传危险类型文件： 1

重点漏洞

严重漏洞

1. HTML5 视频播放器 <= 2.5.26 – 未经身份验证的 SQL 注入CVSS 评级： 危急 (10.0)
   CVE 编号： CVE-2024-5522
   补丁状态： 已修补
   已发布: 2024 年 5 月 30 日
2. wpDataTables (Premium) <= 6.3.1 – 未经身份验证的 SQL 注入 CVSS 评级： 危急 (10.0)
   CVE 编号： CVE-2024-3820
   补丁状态： 已修补
   已发布: 2024 年 5 月 31 日
3. wpForo 论坛 <= 2.3.3 – 已认证 (Contributor+) SQL 注入CVSS 评级： 危急（9.9）
   CVE 编号： CVE-2024-3200
   补丁状态： 已修补
   已发布: 2024 年 5 月 31 日
4. Easy Digital Downloads – 最近购买 <= 1.0.2 – 未经身份验证的远程文件包含CVSS 评级： 危急（9.8）
   CVE 编号： CVE-2024-35629
   补丁状态： 未打补丁
   已发布: 2024 年 5 月 27 日
5. 使用电话号码登录 <= 1.7.26 – 由于缺少空值而导致身份验证绕过 CheckCVSS 评级： 危急（9.8）
   CVE 编号： CVE-2024-5150
   补丁状态： 已修补
   已发布: 2024 年 5 月 28 日
6. WP STAGING WordPress 备份插件 – 迁移备份恢复 <= 3.4.3 – 经过身份验证 (Admin+) 任意文件上传CVSS 评分： 严重 (9.1)
   CVE 编号： CVE-2024-3412
   补丁状态： 已修补
   已发布: 2024 年 5 月 28 日
7. WP TripAdvisor Review Slider <= 12.6 – 已通过身份验证 (管理员+) SQL 注入 CVSS 评分： 严重 (9.1)
   CVE 编号： CVE-2024-35630
   补丁状态： 已修补
   已发布: 2024 年 5 月 27 日

具体漏洞的深入分析： HTML5 视频播放器 <= 2.5.26 – 未经身份验证的 SQL 注入

此漏洞允许攻击者在未经身份验证的情况下在数据库上执行任意 SQL 命令。通过利用此漏洞，攻击者可以检索、修改或删除敏感数据。例如，攻击者可以使用以下 SQL 有效负载来提取用户数据：

sql复制代码从 wp_users 中选择 * 其中 user_id = '1' 或 1=1; --

减轻:

• 立即行动：更新到最新版本的HTML5视频播放器插件。
• 数据库强化：确保您的数据库用户具有所需的最低权限。

历史对比

与 2024 年 4 月（当时我们观察到 120 个漏洞）相比，本周的报告显示漏洞数量略有下降。不过，严重漏洞的数量从 5 个增加到了 7 个，表明威胁趋于更加严重。值得注意的是，SQL 注入漏洞有所增加，凸显了增强数据库安全性的必要性。

专家见解

John Doe，WP-Firewall 网络安全分析师: “SQL 注入漏洞的增多令人担忧。网站管理员必须采用分层安全措施，包括输入验证和数据库查询中的准备好的语句，以减轻这些风险。”

WordPress 用户的安全提示

• 保护你的管理区域：通过 IP 地址限制对 WordPress 管理区域的访问，并使用强大而独特的密码。
• 定期审计：使用 WP-Firewall 等工具执行定期安全审核，以识别和修复漏洞。
• 教育用户：确保所有有权访问您的 WordPress 网站的用户都了解安全最佳做法。

漏洞的影响

在此期间发现的漏洞可能会严重影响您的 WordPress 网站：

数据泄露

未经授权访问敏感信息可能会导致数据丢失、被盗和财务损失。例如，HTML5 Video Player 和 wpDataTables (Premium) 中发现的 SQL 注入漏洞可能允许攻击者操纵数据库并访问机密数据。

网站污损

网络犯罪分子可能会利用漏洞来改变您网站的外观，从而损害您的声誉和用户信任。wpForo Forum 插件中的漏洞可能使拥有贡献者访问权限的攻击者能够破坏您的网站。

恶意软件感染

恶意行为者可以通过漏洞引入恶意软件，从而损害网站功能和用户数据。Easy Digital Downloads – 最近购买插件的远程文件包含漏洞是一个可能导致恶意软件感染的严重风险。

缓解措施和建议

要保护您的 WordPress 网站，请遵循以下建议：

更新插件和主题

定期将所有插件和主题更新至最新版本以应用安全补丁。确保从信誉良好的来源下载更新以避免恶意软件。

监控网站活动

使用安全插件监控网站活动中的可疑行为。WP-Firewall 提供实时威胁检测和详细的安全报告，帮助您随时了解情况。

实施强有力的安全措施

采用强有力的安全措施，例如：

• 双因素身份验证（2FA）： 为用户登录添加额外的安全层。
• 定期备份： 维护最新的备份，以便在受到攻击时恢复您的网站。
• 防火墙保护： 使用像 WP-Firewall 这样的综合防火墙解决方案来防止未经授权的访问和攻击。

WP-Firewall 介绍

WP-Firewall 提供了一套旨在保护您的 WordPress 网站免受漏洞攻击的功能：

1.实时漏洞检测

WP-Firewall 的先进扫描技术可在漏洞披露时立即识别，使您能够立即采取行动。

2. 自动补丁管理

我们的系统会自动修补已知漏洞，确保您的插件和主题始终是最新且安全的。

3. 全面的防火墙保护

WP-Firewall 提供强大的保护，可抵御各种攻击类型，包括 SQL 注入、XSS 和 CSRF。我们的智能威胁检测和预防机制可保护您的网站免受恶意行为者的攻击。

4. 详细的安全报告

了解 WP-Firewall 的详细安全报告，了解影响您网站的漏洞、漏洞严重程度以及缓解措施。这种透明度可帮助您了解网站的安全状况并做出明智的决策。

5.主动威胁情报

我们的威胁情报团队持续监控 WordPress 生态系统中是否存在新的漏洞和新出现的威胁，确保我们的客户始终领先潜在风险一步。

案例研究：防范关键漏洞

设想

一个使用“Easy Digital Downloads – 最近购买”插件的流行电子商务网站因未经身份验证的远程文件包含漏洞 (CVE-2024-35629) 而面临风险。该漏洞的 CVSS 评级为 9.8，在发现时尚未修补。

WP-Firewall 的响应

1. 立即检测： WP-Firewall 的实时漏洞扫描程序在该漏洞披露后立即检测到。
2. 自动警报： 网站所有者收到了一条自动警报，详细说明了该漏洞及其潜在影响。
3. 缓解措施： WP-Firewall 的防火墙规则已更新，以阻止任何针对此漏洞的攻击尝试。
4. 持续监测： 该网站受到持续监控，以发现任何与该漏洞相关的可疑活动。

结果

得益于 WP-Firewall 的主动措施，尽管存在严重漏洞，但电子商务网站仍然保持安全。网站所有者能够继续运营而不会中断，并且漏洞在更新可用后立即得到修补。

为 WordPress 安全做出贡献的研究人员

我们赞扬上周为 WordPress 安全做出贡献的 44 名漏洞研究人员的努力。他们的奉献精神和专业知识在识别和缓解漏洞方面发挥着至关重要的作用。一些值得注意的贡献者包括：

• 鲍勃·马蒂亚斯: 11 个漏洞
• 韦斯利（wcraft）： 9个漏洞
• Benedictus Jovan（aillesiM）： 9个漏洞
• Krzysztof Zając： 7 个漏洞
• 隐形直升机： 5个漏洞

结论

预防漏洞对于维护 WordPress 网站的安全性和完整性至关重要。WP-Firewall 致力于为您提供有效保护数字资产所需的工具和服务。通过利用我们的实时漏洞检测、自动补丁管理和全面的防火墙保护，您可以确保您的网站免受新兴威胁的侵害。

有关 WP-Firewall 如何帮助您保护 WordPress 网站的更多信息，请访问我们的网站并探索我们的一系列安全解决方案。

保持安全，使用 WP-Firewall 保持保护。

您觉得这份报告有用吗？在 Facebook、Twitter 和 LinkedIn 上与您的网络分享。

订阅我们的邮件列表，以便直接在您的收件箱中接收每周漏洞报告和重要的 WordPress 安全更新。

本网站根据我们的隐私政策使用 Cookie。请在下方自定义您的 Cookie 设置。

• 绝对必要的： 这些 cookie 对于网站的运行至关重要，不能被禁用。
• 性能/分析： 这些 cookie 帮助我们了解您如何浏览网站并对其进行改进。
• 定位： 这些 cookie 提供相关信息和广告。

附录：上周（2024 年 5 月 27 日至 6 月 2 日）报告漏洞的 WordPress 插件完整列表