WordPress Vulnerabilidad Breviar: mayo de 2019, Parte 2

Se han revelado nuevas vulnerabilidades del tema de complemento y WordPress en la última mitad del mes, por lo que queremos informarle. Dividimos el resumen de vulnerabilidad de WordPress en cuatro categorías diferentes:
1. WordPress Core
2. complementos de WordPress
3. Temas de WordPress
4. Se rompe por Internet
* Incluimos violaciones en la web, porque es esencial crear conciencia sobre las vulnerabilidades fuera del ecosistema de WordPress. Las operaciones al software del servidor pueden exponer datos confidenciales. Las violaciones de la base de datos pueden exponer las credenciales de los usuarios en su sitio, abriendo la puerta de los atacantes para acceder a su sitio.
Vulnerabilidades básicas de WordPress
Las vulnerabilidades de WordPress no se revelaron en mayo de 2019.
Las vulnerabilidades de los complementos de WordPress se han descubierto varias vulnerabilidades nuevas para los complementos de WordPress. Asegúrese de seguir la acción sugerida para actualizar el complemento o desinstalarlo por completo. 1. Chat en vivo con Facebook Messenger

El chat de complemento en vivo con Facebook Messenger, versión 1.4.6 y abajo, es vulnerable a un ataque de guiones entre sitios. Que debes hacer
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 1.4.7.
2. Gerente de Boletín

El gerente del boletín del complemento es vulnerable a una redirección abierta no autorizada. La entrada del evento no fue desinfectada, creando un Exploit XSS. Que debes hacer
WordPress.org ha cerrado el administrador del boletín de complementos, así que elimine el complemento y busque un reemplazo.
3. Convertplus

La conversión más versión 3.4.2 y abajo es vulnerable a un ataque de creación arbitrario del papel no autorizado del usuario. Usando el exploit, los atacantes pueden crear nuevos usuarios de administración sin siquiera necesitar conectarse a su sitio web. Una vez que un mal actor tiene acceso de administrador a su sitio, puede redirigir los visitantes de su sitio a sitios maliciosos, puede bloquear su acceso y agregar malware en su sitio. Debe hacerlo.
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 3.4.3.
4. Sistema de reserva de WP
El complemento del sistema de reserva WP versión 1.5.1.1 y abajo es vulnerable a un ataque de falsificación de solicitud de sitio cruzado. Los sistemas de reserva de WP no incluían no -csrf que pudieran haber llevado a un atacante a evitar el requisito de privilegio del administrador y llevar a cabo una inyección SQL. Que debes hacer

La vulnerabilidad ha sido reparada y debe actualizarse a la versión 1.5.2.
5. reproductor de video FV Flowlayer
FV FlowPlayer Video Player Versión 7.3.14.727 y abajo tenían tres vulnerabilidades diferentes reveladas este mes. El complemento era vulnerable al almacenamiento XSS inalcanzable, inyección SQL y exportación de CSV.

Si un atacante aprovechó las vulnerabilidades, le habría permitido proporcionar una entrada de correo electrónico y jugarla en la pantalla de exportación de correo electrónico. La vulnerabilidad de la inyección SQL estaba relacionada con la suscripción de correo electrónico, y la tercera vulnerabilidad permitió a los usuarios invitados crear una exportación de CSV de la suscripción de correo electrónico. Que debes hacer
Las vulnerabilidades se han reparado y deben actualizarse a la versión 7.3.15.727.
6. Análisis delgado
Slim Analytics versión 4.8 y abajo es vulnerable a un ataque almacenado de XSS no autorizado. La vulnerabilidad permitiría a cualquier visitante al sitio inyectar JavaScript arbitrary en el diario de acceso de los complementos. Como informó jugos: un usuario malicioso podría falsificar una solicitud de análisis alegando que su navegador tiene un complemento especialmente creado para inyectar código arbitrario en el diario de acceso al complemento. Esto se ejecutará una vez que un administrador se conecta. Que debes hacer

La vulnerabilidad ha sido reparada y debe actualizarse a la versión 4.8.1.
7. Forma creador por 10web
Formulario de formulario por 10web versión 1.13.2 y abajo es vulnerable a una inyección SQL autenticada. Como informó Daniele Scanu, sería posible realizar una inyección SQL en la función get_labels_parameters desde el formulario de formulario / admin / subsissions_fm.php` con un valor creado del parámetro ASC_OR_DESC.
Que debes hacer

La vulnerabilidad ha sido reparada y debe actualizarse a la versión 1.13.3.
8. complemento simple para la lista de archivos
Plugin de lista de archivos simple versión 3.2.4 y abajo es vulnerable a un ataque de descarga de archivos de arbitraje no autorizado. La vulnerabilidad permite a cualquier usuario que conoce la solicitud para descargar la lista de archivos, que puede exponer información confidencial. Que debes hacer
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 3.2.4.

9. Popup resbaladiza
La ventana emergente slick es vulnerable a un ataque a los privilegios crecientes. La vulnerabilidad permite a los suscriptores crear una cuenta de administrador con credenciales de autenticación codificadas. Puede usar este nombre de usuario y contraseña codificados.
Nombre de usuario: SlickPopupTeam (más que no luminoso) Contraseña: OMAKPASS13 # ¿Qué debería DowordPress.org Cerrado Slick PopUp Manager en mayo de 2019, por lo que sugeriría eliminar el complemento y encontrar un reemplazo?

10. Pop-ups de ajetreo, deslizamientos y opt-Ins de correo electrónico
La versión de Hustle 6.0.7 y abajo es vulnerable a un ataque de inyección CSV no autorizado. La explotación permite que un atacante inyecte el código malicioso en una ventana emergente. El actor malicioso podría inyectar el código malicioso en la computadora del administrador por una función de Excel. Que debes hacer
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 6.0.8.1.
Temas de WordPress

Solo se descubrió una vulnerabilidad al tema de WordPress en la última parte de mayo de 2019.
1. Viajero
El tema Traveler versión 2.7.1 es vulnerable a un ataque de reflejo y almacenamiento XSS. Que debes hacer
Las vulnerabilidades no han sido reparadas. Siga el cambio de cambios para una actualización que incluya un remedio.
Cómo ser proactivo sobre las vulnerabilidades del tema de WordPress y los complementos que ejecutan el software obsoleto es por qué los sitios de WordPress son pirateados. Es crucial que la seguridad de su sitio de WordPress tenga una rutina de actualización. Debe iniciar sesión en sus sitios al menos una vez por semana para realizar actualizaciones.

Actualizaciones automáticas Usando la función de administración de versiones de Security Pro Ithemes, puede activar las actualizaciones automáticas de WordPress para garantizar que reciba los últimos parches de seguridad.
Las actualizaciones automáticas son una excelente opción para sitios web que no cambian muy a menudo. La falta de atención requerida a menudo deja estos sitios descuidados y vulnerables a los ataques. Actualizaciones de gestión de versión
Automatice las actualizaciones de WordPress: todas las actualizaciones de WordPress se instalan automáticamente cuando están disponibles.

Actualizaciones automáticas para complementos: todas las actualizaciones para arados se instalan automáticamente cuando están disponibles.
Temas de actualizaciones automáticas: todas las actualizaciones de temas se instalan automáticamente cuando están disponibles. Use esto si ha colocado las personalizaciones del tema en el tema de un niño, para no sobrescribir sus personalizaciones actualizando su tema principal.

Control granular sobre las actualizaciones de complementos y temas: puede tener complementos / temas que desea actualizar manualmente o retrasar la actualización hasta que la versión haya tenido tiempo para resultar estable. Puede elegir personalizado para la posibilidad de atribuir a cada complemento o tema, ya sea la actualización inmediata (activación), no la actualización automática (desactivación) o la actualización con un retraso de una cierta cantidad de días (retraso).
Fortalecer y alertar sobre problemas críticos
Consolidar el sitio cuando ejecute software obsoleto: el complemento de seguridad ITHEMS activará automáticamente una seguridad más estricta cuando no se haya instalado una actualización de un mes. En primer lugar, obligará a todos los usuarios que no tienen dos factores activos a proporcionar un código de autenticación enviado a su correo electrónico antes de iniciar sesión nuevamente. , XML-RPC Pingback y bloquean varios intentos de autenticación para cada solicitud XML-RPC (ambos hará XML-RPC más fuerte contra ataques sin tener que detenerlo por completo). Esto verificará si hay otras instalaciones obsoletas de WordPress en su cuenta de host. Un solo sitio de WordPress con una vulnerabilidad podría permitir a los atacantes comprometer a todos los demás sitios en la misma cuenta de host.
Enviar notificaciones de correo electrónico para problemas que requieren intervención, se envía un correo electrónico a los usuarios a nivel de administrador.
Breaks por Internet 1. Los atacadores operan servidores webalógicos de Oracle

El mes pasado, se reveló que los servidores webalógicos eran vulnerables a un ransomware Sodinokibi. Oracle ha emitido un parche para la vulnerabilidad. Las víctimas del ataque se reunieron con una solicitud de pago para emitir el descifrado de sus archivos.
Lo que realizó este ataque único es que no requirió ninguna interacción con el usuario. Por lo general, se debe abrir un archivo adjunto malicioso o se debe hacer clic en un enlace malicioso. Esta vulnerabilidad es fácil de explotar por los atacantes, ya que cualquiera tiene acceso HTTP al servidor web podría hacer un ataque. 2. La ciudad de Baltimore es pirateada utilizando el instrumento de la NSA
La ciudad de Baltimore fue víctima de un ataque de malware que le costó a la ciudad alrededor de $ 18.2 millones. Para proporcionar insulto a la lesión, fueron atacados usando EternalBlue. EternalBlue es una herramienta desarrollada por NSA que utiliza dólares de impuestos en los Estados Unidos. 3. Los blogs de Google sobre el almacenamiento de contraseñas en el texto simple han revelado que han reparado un error que ha estado en progreso desde 2005. El error que solo ha afectado a los usuarios comerciales almacenaría algunas contraseñas en texto simple. Esto significa que cualquier persona que haya obtenido acceso a las contraseñas almacenadas podrá ver su contraseña. 4. Google revela Titan Bug
Google ha revelado un error de seguridad en sus claves de seguridad de titanio. Debido a la configuración incorrecta en los protocolos de la asociación Bluetooth de las claves de seguridad de titanio, es posible que un atacante que sea casi físico cuando usa la clave de seguridad, a unos 30 pies, a (a) comunicarse con la clave de seguridad o (( b) Comuníquese con el dispositivo al que está asociada la clave. Si tiene una clave de seguridad comprometida, le ofrecen reemplazarla. Google.com/replacemykey 5. Slack para la vulnerabilidad de Windows
Si usa Slack en Windows, asegúrese de actualizar inmediatamente la versión 3.4.0. Antes de la versión 3.4.0, los piratas informáticos podían publicar un enlace malicioso que, al hacer clic, les hubiera permitido redirigir a un usuario a un servidor de archivos que pertenezca al atacante. Luego, el atacante podría infectar el automóvil con malware o podría obtener acceso a archivos confidenciales. Vale la pena mencionar que Slack ha logrado corregir el exploit antes de ser utilizado en malas intenciones. Finalización de la vulnerabilidad: mayo de 2019, Parte 2 Ver Parte 1 del resumen de vulnerabilidad de WordPress para mayo de 2019 aquí. Tenga en cuenta que el software obsoleto es por qué los sitios son pirateados. Cada vulnerabilidad que se ha revelado en lo que va del mes ha sido reparada. Dejar el software obsoleto en su sitio lo dejará vulnerable al ataque. Un complemento de seguridad de WordPress puede ayudarlo a asegurar su sitio Pro Sitio Pro Security Pro, nuestro complemento de seguridad de WordPress, ofrece más de 30 formas de proteger y proteger su sitio web contra las vulnerabilidades comunes de seguridad de WordPress. Con dos autenticación de WordPress, protección de fuerza sin procesar, aplicación de contraseña segura y más, puede agregar una capa de seguridad adicional a su sitio web. Obtener seguridad

Michael Moore

Cada semana, Michael realiza un informe de vulnerabilidad de WordPress para mantener sus sitios seguros.Como gerente de producto en IThems, nos ayuda a continuar mejorando la gama IThems.Es un marco enorme y le encanta aprender sobre todas las cosas técnicas, viejas y nuevas.Puedes encontrar a Michael sentado con su esposa e hija, leyendo o escuchando música cuando no trabaja.