Vulnerabilidade no plugin de tradução do WordPress afeta mais de 1 milhão de sites #ÚltimasNotícias #tecnologia

Uma vulnerabilidade crítica foi descoberta no plugin WPML WordPress, afetando mais de um milhão de instalações. A vulnerabilidade permite que um invasor autenticado execute código remoto, potencialmente levando a uma tomada de controle total do site. Ela é listada como 9,9 de 10 pela organização Common Vulnerabilities and Exposures (CVE).

Vulnerabilidade do plugin WPML

A vulnerabilidade do plugin é devido à falta de uma verificação de segurança chamada sanitização, um processo para filtrar dados de entrada do usuário para proteger contra o upload de arquivos maliciosos. A falta de sanitização nessa entrada torna o plugin vulnerável a uma Execução Remota de Código.

A vulnerabilidade existe dentro de uma função de um shortcode para criar um seletor de idioma personalizado. A função renderiza o conteúdo do shortcode em um modelo de plugin, mas sem higienizar os dados, tornando-os vulneráveis ​​à injeção de código.

A vulnerabilidade afeta todas as versões do plugin WPML WordPress até 4.6.12.

Linha do tempo da vulnerabilidade

O Wordfence descobriu a vulnerabilidade no final de junho e notificou imediatamente os editores do WPML, que permaneceu sem resposta por cerca de um mês e meio, confirmando a resposta em 1º de agosto de 2024.

Usuários da versão paga do Wordfence receberam proteção oito dias após a descoberta da vulnerabilidade, os usuários gratuitos do Wordfence receberam proteção em 27 de julho.

Usuários do plugin WPML que não usaram nenhuma das versões do Wordfence não receberam proteção do WPML até 20 de agosto, quando os editores finalmente lançaram um patch na versão 4.6.13.

Usuários de plugins são incentivados a atualizar

O Wordfence recomenda que todos os usuários do plugin WPML se certifiquem de que estão usando a versão mais recente do plugin, WPML 4.6.13.

Eles escreveram:

“Pedimos aos usuários que atualizem seus sites com a versão mais recente corrigida do WPML, versão 4.6.13 no momento em que este artigo foi escrito, o mais rápido possível.”

Leia mais sobre a vulnerabilidade no Wordfence:

1.000.000 de sites WordPress protegidos contra vulnerabilidade exclusiva de execução remota de código no plugin WPML WordPress

Imagem em destaque por Shutterstock/Luis Molinero