10 самых уязвимых плагинов WordPress

Согласно опубликованному отчету Imperva, уязвимости новых веб-приложений увеличились на 21% в 2018 году по сравнению с 2017 годом. Более половины этих уязвимостей (54%) имеют открытый доступ для хакеров, а более трети (38%) никак не могут быть исправлены с точки зрения обновления программного обеспечения.

WordPress самая уязвимая CMS

В категории систем управления контентом (CMS) количество обнаруженных уязвимостей WordPress за последний год увеличилось на 30%. WordPress столкнулся с большим количеством уязвимостей, чем любая другая CMS, отчасти из-за популярности платформы: по данным WebsiteSetup, он используется почти 60% всех веб-сайтов, что составляет более 22 миллионов сайтов.

Практически все уязвимости WordPress (98%) связаны с плагинами, которые расширяют функциональные возможности веб-сайта. Любой пользователь может создать и опубликовать плагин, так как WordPress является платформой с открытым исходным кодом и не соблюдаются минимальные стандарты безопасности, что делает его подверженным уязвимостям.

На момент публикации отчета в WordPress было 55 271 плагинов, и только 1 914 (или 3%) были добавлены в 2018 году. Медленный рост плагинов и быстрый рост новых уязвимостей опять же вызваны его широким использованием, поскольку злоумышленники могут быть мотивированы разработкой специальных инструментов для поиска дыр в коде.

Нарушения Drupal

Между тем, хотя Drupal является третьей по популярности CMS после WordPress и Joomla, две его уязвимости (CVE-2018-7600 и CVE-2018-7602) стали причиной нарушений безопасности на сотнях тысяч веб-серверов в 2018 году. Эти уязвимости позволили злоумышленникам, не прошедшим проверку подлинности, удаленно внедрять вредоносный код и запускать его по умолчанию или при общих установках Drupal, а затем подключаться к внутренним базам данных, сканировать и заражать внутренние сети, анализировать криптовалюты и заражать клиентов троянами.

Уязвимые плагины

Вот 10 плагинов WordPress с наибольшим количеством уязвимостей в 2018 году. Однако есть несколько предостережений к этой информации. С одной стороны, следует отметить, что включение в этот список не означает, что это обязательно самые уязвимые плагины. В некоторых случаях обнаруженные проблемы не подвергают пользователей риску атаки, поскольку они могут быть использованы только пользователями с полным административным доступом к сайту. Imperva пояснила, что некоторые из приведенных ниже сайтов имеют только несколько уязвимостей, которые не могут напрямую повлиять на пользователей.

Список опасных плагинов Wordpress

1. Event Calendar WD
2. Ultimate Member
3. Coming Soon Page
4. GD Rating System
5. Contact Form by WD
6. WPGlobus
7. From Maker
8. Ninja Forms
9. Affiliates Manager
10. Duplicator Pro