Как узнать, что мой сайт на Wordpress не содержит xss уязвимостей?

Question

[Алексей Типа]

Я нуб.
Получил от хостинговой компании предупреждение о том, что в файлах:

/home/мойсайт/public_html/wp-includes/formatting.php
/home/мойсайт/public_html/wp-includes/comment.php
/home/мойсайт/public_html/wp-admin/includes/ajax-actions.php

...обнаружены XSS уязвимости.

Текущая версия WP 4.8.8
Панель предлагает обновить WP до версии 5.1.1

Будет ли достаточным обновление? Или нужно что-то особенное сделать, чтобы защититься?

Comments

[hint000]

Скажем так: обновлять точно надо.
Но никто не даст 100% гарантии, что в новой версии не будет уязвимостей. Ведь после 5.1.1 чуть погодя выйдет 5.1.2, и 5.2,.. и 6.0,.. и каждый раз что-то будут исправлять, значит каждый раз будут что-то новое находить. Поэтому есть смысл обновлять регулярно. Ну не каждое утро, проснувшись, бежать проверять обновления, :) а так: понадобилось что-то поменять на сайте, зашли в админку, увидели, что есть обновления, обновились - минутное дело.

[alex-1917]

hint000, согласен. я вот например держу рядом с монитором бутылочку 0,33 с водицей святой.
включаю комп, как только появляется админка родимая на экране, так сразу её брызг-брызг.
Помогает, отлично помогает!
Правда мониторы меняю как перчатки. Ну на то воля Божья!

Answer 1

[Alex]

Обновится ОБЯЗАТЕЛЬНО!
Большинство проблем с ВП, именно из-за устаревшего ПО и дырявых плагинов.
О самом ядре можете не волноваться. В случае если станет известно о какой-то уязвимости, разработчики исправят её максимально оперативно. Вам будет достаточно только вовремя обновлятся

Comments

[Алексей Типа]

Спасибо большое за ответ.
Хотел бы уточнить, уязвимости конкретно в этих трех файлах пофиксены в версии 5.1.1 ?
Просто хочется на 100% знать, что эти три "дырки" закрыты после обновления.

[Alex]

Алексей Типа, А вот вы знаете что это за "дырки"? Или слепо верите любому сообщению про непонятный код?
Выяснить ответ очень просто:

1. Изучите историю изменений ВП.
   
2. Посмотрите какие именно уязвимости обнаружены
   
3. Если ваш хостер этой информации не предоставляет — напишите ему и выясните, что он нашел, и как именно.
   
4. Через систему контроля версий сравните проблемные участки кода.
   

Answer 2

[lamer350]

https://blog.ripstech.com/2019/wordpress-csrf-to-rce/