2024年6月17日至6月23日每週WordPress漏洞報告

每週 WordPress 漏洞報告

介紹

歡迎閱讀 WP-Firewall 每週漏洞報告，該報告致力於讓 WordPress 網站管理員了解情況並確保安全。本報告涵蓋 2024 年 6 月 17 日至 2024 年 6 月 23 日期間，重點介紹 WordPress 外掛程式和主題中的最新安全漏洞。及時了解這些報告對於維護網站的完整性和保護用戶資料免受潛在威脅至關重要。

WordPress 是全球最受歡迎的內容管理系統之一，為數百萬個網站提供支援。然而，這種受歡迎程度使其成為駭客和網路犯罪分子的主要目標。透過了解和解決每週發現的漏洞，您可以確保您的網站免受惡意攻擊。

關鍵漏洞總結

在此期間，137 個 WordPress 外掛和 14 個 WordPress 主題共揭露了 185 個漏洞。其中，103個漏洞已修復，82個漏洞尚未修復。這些漏洞依其嚴重程度進行分類：

• 批判的：17 個漏洞
• 高的：24 個漏洞
• 中等的：144 個漏洞

值得注意的漏洞

1. InstaWP Connect <= 0.1.0.38嚴重性：嚴重 (10.0)
   CVE 編號漏洞：CVE-2024-37228
   類型：未經認證的任意文件上傳
   補丁狀態：已修補
2. WishList 成員 X <= 3.25.1嚴重性：嚴重 (10.0)
   CVE 編號漏洞：CVE-2024-37112
   類型：未經身份驗證的任意 SQL 執行
   補丁狀態：未打補丁
3. WP 飯店預訂 <= 2.1.0嚴重性：嚴重 (10.0)
   CVE 編號漏洞：CVE-2024-3605
   類型：未經身份驗證的 SQL 注入
   補丁狀態：未打補丁
4. 諮詢 Elementor Widgets <= 1.3.0嚴重性：嚴重 (9.9)
   CVE 編號漏洞：CVE-2024-37090
   類型：經過驗證 (Contributor+) SQL 注入
   補丁狀態：已修補
5. 影像優化器、調整器和 CDN – Sirv <= 7.2.6嚴重性：嚴重 (9.9)
   CVE 編號漏洞：CVE-2024-5853
   類型: 經過驗證 (Contributor+) 任意檔案上傳
   補丁狀態：已修補

值得注意的漏洞的詳細分析

InstaWP Connect (<= 0.1.0.38) – 任意檔案上傳

• 嚴重性：嚴重 (10.0)
• CVE 編號漏洞：CVE-2024-37228
• 補丁狀態：已修補

描述：此漏洞允許未經身份驗證的使用者向伺服器上傳任意檔案。這可能包括惡意腳本，一旦上傳，就可以執行以控制網站。

技術細節：攻擊者透過向伺服器發送特製的請求來利用此漏洞，繞過身份驗證檢查並允許檔案上傳。一旦惡意檔案被上傳，它就可以被執行以執行各種惡意活動，例如注入惡意軟體、破壞網站或竊取敏感資訊。

影響：如果被利用，此漏洞可能會導致整個網站被接管。攻擊者可以獲得管理存取權限、操縱網站內容、竊取使用者資料並部署其他惡意軟體。

減輕：為了降低這種風險，必須將 InstaWP Connect 外掛程式更新到已修補漏洞的最新版本。此外，實作一個強大的安全插件，掃描並阻止可疑文件上傳可以提供額外的保護。

WishList 成員 X (<= 3.25.1) – SQL 執行

• 嚴重性：嚴重 (10.0)
• CVE 編號漏洞：CVE-2024-37112
• 補丁狀態：未打補丁

描述：此漏洞允許未經身份驗證的使用者在資料庫上執行任意 SQL 命令。這可用於檢索、修改或刪除數據，並在某些情況下獲得管理存取權限。

技術細節：當使用者輸入未正確清理時，就會出現 SQL 注入漏洞，讓攻擊者可以操縱 SQL 查詢。透過注入惡意 SQL 程式碼，攻擊者可以改變查詢執行過程，獲得未經授權的資料存取並執行破壞資料庫完整性的操作。

影響：利用此漏洞可能導致資料外洩、資料完整性喪失以及未經授權存取敏感資訊。攻擊者可以操縱用戶資料、竊取憑證並可能完全控制網站。

減輕：在修補程式發布之前，管理員應考慮停用 WishList Member X 外掛程式或使用 Web 應用程式防火牆 (WAF) 來阻止惡意 SQL 查詢。也建議定期監控資料庫活動是否有異常行為。

漏洞的影響

這些漏洞對 WordPress 網站構成了重大風險，包括：

• 資料外洩：未經授權存取敏感資料可能會導致嚴重洩露，危及使用者資訊。
• 網站污損：攻擊者可以更改網站內容，損害信譽和使用者信任。
• 惡意軟體感染：漏洞可被利用來注入惡意軟體，並可能傳播給使用者和其他網站。

真實世界的例子

1. InstaWP Connect 檔案上傳漏洞：一個嚴重的缺陷允許未經身份驗證的用戶上傳任意文件，這可能導致整個網站被接管。如果不修補此漏洞，可能會導致該網站被用來傳播惡意軟體。
2. WishList 成員 SQL 注入：此漏洞使攻擊者可以執行任意 SQL 命令，從而存在暴露用戶資料的風險，並且有可能更改資料庫記錄。

緩解措施和建議

為了緩解這些漏洞，WordPress 網站管理員應該：

1. 定期更新外掛和主題：確保所有外掛程式和主題都更新到最新版本。修補的漏洞通常包含在更新中。
2. 實施安全插件：利用安全插件監控網站活動並提供額外的保護層。
3. 定期備份：定期備份您的網站，以便在受到攻擊時快速恢復。
4. 啟用雙重認證：透過為所有使用者帳戶啟用雙重認證 (2FA) 來加強登入安全性。

逐步指南

1. 更新外掛程式/主題：導覽至 WordPress 儀表板。
   前往 更新.
   選擇並更新所有外掛和主題。
2. 安裝安全插件：搜尋並安裝信譽良好的安全插件，如WP-Firewall。
   配置設定以獲得最佳保護。
3. 設定定期備份：選擇可靠的備份插件。
   安排定期備份並儲存在安全的地方。
4. 啟用 2FA：安裝雙重認證外掛程式。
   依照設定說明為所有使用者帳戶啟用 2FA。

具體漏洞的深入分析

InstaWP Connect (<= 0.1.0.38) – 任意檔案上傳

• 嚴重性： 批判的
• 力學：此漏洞允許未經身份驗證的使用者將任意檔案上傳到伺服器，從而可能執行惡意程式碼。
• 影響：利用此漏洞可以導致攻擊者完全控制網站。
• 技術細節：攻擊者可以透過向伺服器發送精心設計的請求、繞過身份驗證機制並獲得上傳和執行任意檔案的權限來利用此漏洞。這可能會導致網站的完整性和可用性徹底受損。

WishList 成員 X (<= 3.25.1) – SQL 執行

• 嚴重性： 批判的
• 力學：此缺陷使未經身份驗證的使用者能夠執行任意 SQL 查詢，從而暴露和修改資料庫內容。
• 影響：損害資料完整性和機密性。
• 技術細節：透過 SQL 注入，攻擊者可以操縱對資料庫的查詢。這可能使他們能夠檢索敏感資訊、更改或刪除資料以及執行管理操作，從而可能導致整個網站遭到入侵。

歷史比較

將本週的數據與先前的報告進行比較可以發現：

• 中等嚴重程度漏洞增加，顯示威脅趨於不那麼嚴重，但仍十分嚴重。
• 在廣泛使用的插件中不斷發現嚴重漏洞，強調需要不斷保持警惕。
• SQL 注入和任意檔案上傳漏洞的顯著模式，突顯了需要強大防禦的常見攻擊媒介。

保持知情的重要性

發現漏洞的頻率和嚴重性強調了保持知情和主動性的重要性。定期更新有關最新威脅的知識並實施建議的安全措施可以顯著增強您網站的防禦能力。

未來趨勢和預測

根據目前的趨勢，很可能：

• 隨著攻擊者找到新方法來利用不太嚴重的漏洞，中等嚴重程度的漏洞的數量將繼續增加。
• 開發人員將越來越注重保護外掛程式和主題免受 SQL 注入和任意檔案上傳等常見漏洞的攻擊。
• 安全工具和插件將不斷發展，提供更全面的保護，整合先進的威脅偵測和回應功能。

結論

對於 WordPress 網站管理員來說，了解最新的漏洞至關重要。定期更新、安全實踐和意識可以顯著降低被利用的風險。註冊 WP-Firewall 免費規劃 接收每週報告和即時通知，確保您的網站保持安全。

有關詳細資訊和更新，請訪問博客 WP-防火牆.

附錄 – 2024 年 6 月第四週報告的 WordPress 漏洞清單。