2024 年 6 月 24 日至 6 月 30 日 WordPress 漏洞每周汇总

WordPress 漏洞报告：2024 年 6 月 24 日至 2024 年 6 月 30 日

介绍

本报告旨在为 WordPress 网站管理员提供有关过去一周发现的漏洞的重要信息。及时了解这些更新对于维护网站完整性和保护用户数据至关重要。本报告涵盖了 2024 年 6 月 24 日至 2024 年 6 月 30 日期间的内容，强调了及时了解安全报告以保护网站免受潜在威胁的重要性。

主要漏洞概述

未修补的漏洞

• 自动特色图片：任意文件上传漏洞（CVE-2024-6054）仍未修补。
• 阿尼玛：存储型跨站点脚本漏洞（CVE-2024-37248）仍未修补。

已修补的漏洞

• WordPress 核心 < 6.5.5：通过 HTML API 验证的存储型跨站点脚本 (XSS) 漏洞。
• PayPlus 支付网关：未经身份验证的 SQL 注入漏洞（CVE-2024-6205），截至 2024 年 6 月 28 日已修补。
• 多个插件：注入后门漏洞（CVE-2024-6297），修补多个插件，包括社交共享插件、联系表单 7 多步骤插件、简单显示钩子等。

漏洞严重程度

• 批判的：7 个漏洞，包括 PayPlus 支付网关和几个注入后门的插件。
• 高：8个漏洞，包括WP Maps SQL注入和WPCafe文件包含。
• 中等的：104个漏洞。
• 低的：2个漏洞。

按 CWE 类型划分的漏洞

• 跨站点脚本 (XSS)：66个漏洞。
• 缺少授权：16个漏洞。
• 跨站请求伪造 (CSRF)：15 个漏洞。
• SQL 注入：4个漏洞。
• 路径遍历：3个漏洞。

漏洞的影响

这些漏洞会严重影响 WordPress 网站，导致数据泄露、网站损坏、恶意软件感染和用户信任丧失。例如，SQL 注入漏洞可允许攻击者执行任意 SQL 命令，从而可能导致未经授权的数据访问和修改。XSS 漏洞可使攻击者将恶意脚本注入其他用户查看的网页，从而泄露他们的数据并可能传播恶意软件。

真实场景

1. PayPlus 支付网关中的 SQL 注入：这可能允许攻击者操纵数据库查询，导致未经授权访问敏感的支付信息。
2. WordPress 核心中的 XSS：攻击者可以利用此漏洞注入恶意脚本，从而可能危及管理员帐户并传播恶意软件。

缓解措施和建议

更新插件和主题

1. 定期更新：确保所有插件、主题和 WordPress 核心都更新到最新版本。这包括在可能的情况下启用自动更新。
2. 审阅变更日志：始终检查插件和主题更改日志，了解任何与安全相关的更新。

实施安全措施

1. 双因素身份验证（2FA）：为所有管理员帐户实施 2FA，以增加额外的安全层。
2. 定期备份：定期备份您的网站，以确保在受到攻击时可以恢复数据。
3. 安全插件：使用安全插件扫描漏洞并防范常见威胁。

监控网站活动

1. 日志监控：定期监控服务器和应用程序日志中是否存在可疑活动。
2. 用户活动追踪：使用插件跟踪您网站上的用户活动以检测未经授权的更改。

深入分析具体漏洞

PayPlus 支付网关 SQL 注入

• 严重程度：严重（CVSS 评分 10.0）
• 机制：此漏洞允许未经身份验证的用户注入恶意 SQL 命令。
• 影响：可能导致数据库完全泄露、未经授权的数据访问以及潜在的数据损坏。
• 减轻：立即应用可用的补丁并检查数据库日志以查找任何被利用的迹象。

通过 HTML API 进行 WordPress Core XSS

• 严重程度： 高的
• 机制：经过身份验证的用户可以注入恶意脚本，这些脚本会存储并执行在查看受影响页面的任何人的浏览器中。
• 影响：可能导致会话劫持、污损和恶意软件传播。
• 减轻：更新到最新的 WordPress 核心版本并实施 Web 应用程序防火墙 (WAF) 来阻止恶意脚本。

历史对比

与前几周相比，本周的报告显示，中等严重程度的漏洞数量明显增加。这可能表明，在达到严重程度之前，会发现和修补更多的漏洞。此外，由于最近的补丁，PayPlus Payment Gateway 和 Newspack Blocks 等特定插件的性能有所改善。

结论

及时了解最新的漏洞报告对于维护 WordPress 网站的安全性和完整性至关重要。实施推荐的安全措施并及时应用补丁可以显著降低漏洞利用的风险。如需获取详细的漏洞数据和实时更新，请考虑使用 WP-Firewall 漏洞数据库等工具并订阅安全邮件列表。通过保持警惕和积极主动，网站管理员可以保护其网站和用户数据免受新兴威胁的侵害。

附录 – WordPress 漏洞完整列表