WordPress Vulnerabilidad Breviar: mayo de 2019, primera parte

Las nuevas vulnerabilidades de los complementos de WordPress se han revelado este mes, por lo que queremos informarle. En esta publicación dividimos las vulnerabilidades relacionadas con WordPress este mes en cuatro categorías diferentes:
1. WordPress Core
2. Plugin WordPress
3. Temas de WordPress
4. Descansa Internet *
* Incluimos violaciones en la web en esta publicación, porque es importante estar al tanto de las vulnerabilidades fuera del ecosistema de WordPress. Las operaciones al software del servidor pueden exponer datos confidenciales. Las violaciones de la base de datos pueden exponer las credenciales de los usuarios en su sitio web, abriendo la puerta de los atacantes para acceder a su sitio.
Vulnerabilidades básicas de WordPress
Comenzando con esta publicación, las vulnerabilidades básicas de WordPress no se han revelado en 2019.
Vulnerabilidades de complemento de WordPress 1. Diseñador de blogs

Plugin Blog Designer, versión 1.8.10 y abajo, es vulnerable a un ataque de secuencias de comandos de sitios cruzados (XSS). Como informó WEBARX, un usuario no autorizado puede enviar una solicitud de publicación para actualizar la configuración del complemento. Que debes hacer
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 1.8.11.
2. Calendario de eventos todo en uno

El calendario de eventos 2.5.38 todo en uno y abajo es vulnerable a un ataque de guiones entre sitios. La entrada del evento no fue desinfectada, creando un Exploit XSS.
Que debes hacer
La vulnerabilidad ha sido reparada y debe actualizarse a la versión 2.5.39.
3. W3 Cache total

W3 Total Cache 0.9.7.3 del complemento y abajo tenía tres vulnerabilidades diferentes reveladas este mes. La primera vulnerabilidad es una exploit SSRF que puede aprovecharse de un ataque RCE. La segunda vulnerabilidad es un ataque de guión entre sitios. La tercera vulnerabilidad permite la verificación criptográfica. ¿Qué debo facilitar ha sido reparado y debe actualizarse a la versión 0.9.7.4?
4. Ninja Forms Extensión de carga de archivo
Ninja Forms File Sobre Extension Versión 3.0.22 y abajo es vulnerable a una carga arbitraria de archivos. Un sitio debe tener formularios ninja instalados y tener la extensión activada de carga de archivo para que alguien aproveche la operación. Onvio informó que un atacante podría ejecutar códigos maliciosos utilizando la exploit. Que debes hacer

Las vulnerabilidades se han reparado y deben actualizarse a la versión 3.0.23.
5. Miembro final
La versión de Ultimate Miembro 2.0.45 y abajo es vulnerable a un archivo arbitrario que lee y elimina el exploit y dos ataques de escritura cruzada diferentes. Sucuri informó que esta exploit muy seria podría permitir que un atacante se haga cargo de su sitio web.

Que debes hacer
Las vulnerabilidades se han reparado y deben actualizarse a la versión 2.0.46.
6. Suite de tierras personalizada
Custom Field Suite versión 2.5.14 y abajo es vulnerable a un ataque de script de guión de sitios cruzados autenticado. Vale la pena mencionar esto, un usuario con los privilegios del editor o administrador debe estar conectado para aprovechar la explotación. Que debes hacer

Las vulnerabilidades se han reparado y deben actualizarse a la versión 2.5.15.
Este tipo de ataque muestra la importancia de usar dos autenticación de WordPress para usuarios privilegiados, como los administradores. Uso de IThemes Security Pro, forzue a los usuarios de privilegios a usar 2FA para bloquear WordPress. Vulnerabilidades del tema de WordPress
¡0 vulnerabilidades del tema de WordPress se revelaron en mayo!

Rompe Internet 1. El código fuente de la compañía antivirus para la venta Un grupo de hackers llamado FXMSP afirma que ha robado 30 terabs de las compañías antivirus estadounidenses. Lea más: piratas informáticos que venden acceso y código fuente de compañías antivirus.
Esta es una historia interesante, porque muestra que incluso las empresas antivirus son vulnerables a los ataques. Sin mencionar que los nombres familiares como McAfee y Norton pueden ser las víctimas. 2. Vulnerabilidad Imagen Alpine Linux Docker
Las versiones de imagen Alpine Linux Docker contenían una contraseña nula para el usuario root. Esto significa que alguien podría dejar los datos de conexión utilizando la raíz solo dejando la contraseña en blanco. Docker es maravilloso, pero es importante recordar que es posible que un creador de imágenes no respeta las mejores prácticas de seguridad. 3. WhatsApp

WhatsApp propiedad de Facebook tenía una vulnerabilidad que permitía a los atacantes instalar spyware en su teléfono. Un atacante tuvo que llamarlo, no necesita responder, para instalar software de vigilancia en su iPhone o dispositivo Android. Lo que hace que la explotación extra desagradable es que podría eliminar la llamada del Journal, eliminando cualquier rastro del ataque. Si es usuario de WhatsApp, asegúrese de usar la última versión de la aplicación. 4. Desafortunadamente, las escuelas públicas OKC no están prohibidas por los delincuentes en línea. Las escuelas públicas de Oklahoma City tuvieron que cerrar su red debido a ransomware. Actualmente, OKCPS no ha revelado qué información se ha comprometido. Lea más: los programas de malware eliminan la red informática del distrito informático, tal vez WordPress resumirá la vulnerabilidad, recuerde que el software obsoleto es por qué los sitios son pirateados. Cada vulnerabilidad que se ha revelado en lo que va del mes ha sido reparada. Dejar el software obsoleto en su sitio lo hará vulnerable al ataque.

Asegúrese de mantenerse al día con la Parte 2 de mayo de 2019 de las vulnerabilidades de WordPress mientras compilan las revelaciones realizadas en la última mitad del mes.

Un complemento de seguridad de WordPress puede ayudarlo a asegurar su sitio de seguridad Pro Security Pro, nuestro complemento de seguridad de WordPress, ofrece más de 30 formas de proteger y proteger su sitio web contra las vulnerabilidades comunes de seguridad de WordPress. Con dos autenticación de WordPress, protección de fuerza sin procesar, aplicación de contraseña segura y más, puede agregar una capa de seguridad adicional a su sitio web.
Obtenga la seguridad de Ithemesmichael Moore
Cada semana, Michael realiza un informe de vulnerabilidad de WordPress para mantener sus sitios seguros.Como gerente de producto en IThems, nos ayuda a continuar mejorando la gama IThems.Es un marco enorme y le encanta aprender sobre todas las cosas técnicas, viejas y nuevas.Puedes encontrar a Michael sentado con su esposa e hija, leyendo o escuchando música cuando no trabaja.