WordPress的插件程序中,近3成的重大漏洞没有被修补

专门提供WordPress插件程序安全服务的Patchstack,本周出版了WordPress安全状态的年度报告,指出在2021年所发现的WordPress插件程序重大安全漏洞中,有29%没有被开发者修补,而且用户可能浑然不觉。

开源的WordPress为全球最热门的内容管理系统,去年全球大约有43.2%的网站采用WordPress构建,高于2020年的39.5%,这些WordPress网站使用了各式各样的插件程序来改善网站功能或呈现,也让专门强化WordPress插件程序安全性的安全公司应运而生,如Wordfence或Patchstack。根据Patchstack去年的分析,每个WordPress网站平均采用了18个不同的插件程序或主题。

Patchstack的调查显示,2020年在有关WordPress的安全漏洞中,3.78%出现在WordPress核心,却有96.22%现身于插件程序及主题,但到了2021年,插件程序及主题的漏洞却增加到99.42%,主题占了6.61%,插件程序则是92.81%,WordPress核心漏洞降至0.58%。

图片来源/Patchstack

这些漏洞以跨站脚本(Cross Site Scripting,XSS)为首,总计占了49.82%,居次的是跨站请求伪造(CSRF)的11.18%,仅有0.94%属于远程程序攻击漏洞。值得注意的是,在所有的WordPress网站中,有42%都安装了至少1个含有安全漏洞的组件。

图片来源/Patchstack

此外,在所有的漏洞中,有3.41%被列为重大等级,CVSS风险评分超过9,去年总计有35个WordPress插件程序漏洞被列为重大等级,其中一个藏匿在All in One SEO plugin中,该插件程序的安装数量超过300万,另一个出现在WP Fastest Cache plugin,安装数量也超过100万。

图片来源/Patchstack

尽管上述两个插件程序开发者都已修补了漏洞,但也有高达29%的插件程序重大漏洞并没有被修补。Patchstack说,这些未修补的插件程序有时只是简单被WordPress、其它市场或开发者下架,并没有警告既有的用户,代表用户必须手动检查这些插件程序的版本别或安全状态,再加以移除或选择其它的替代程序。

Patchstack的调查还暴露出另外一个问题,也即尽管WordPress生态体系存在着许多安全漏洞,但WordPress网站并没有太多的安全预算,例如有28%完全没有安全预算,有27%每月的安全预算低于3美元,只有7%每月会安排50美元的安全预算。

发表评论