Vulnerabilidades do WordPress em 30/09/2019

Vulnerabilidades do WordPress em 30/09/2019

Veja os principais problemas do WordPress em 30/09/2019 e mantenha sua instalação atualizada e segura.

Principais Malwares da Semana

MD5ArquivoDescrição
CEC9A529B43D84F0A0E3624372CD9C51post.phpArquivo principal infectado, aciona a execução de outro script malicioso.
7D9A88B33CD777B0949A3033512C1D08wp-vcd.phpBackdoor associado a injeções de spam de SEO.
701CB9E0ACF43569D3C539B073DAAF2Fwp-tmp.phpInjetor de código de spam de SEO.
75234791B9CA71A16FC8432BE4F6A5D0wp-vcd.phpBackdoor associado a injeções de spam de SEO.
380FA777B8C37FB60811E5972391261Bwp-update.php, ob.php, aw.php, and others.WebShellOrb PHP webshell.

Plugins com Problemas

Visualizer < 3.3.1 – Blind SSRF

Este plugin sofre de uma vulnerabilidade do SSRF

GiveWp < 2.5.5 – Authentication Bypass

A fraqueza permitiu que usuários não autenticados ignorassem os métodos de autenticação da API e potencialmente acessassem informações de usuário pessoalmente identificáveis (PII), como nomes, endereços, endereços IP e endereços de email que não deveriam ser acessíveis ao público.

Easy Fancybox < 1.8.18 – Authenticated Stored XSS

O Easy FancyBox WordPress Plugin Versão 1.8.17 é suscetível a scripts entre sites armazenados na página de administração Configurações > Mídia /wp-admin/options-media.php devido à codificação incorreta dos parâmetros de configuração enviados arbitrariamente.

A vulnerabilidade afeta todas as páginas acessíveis ao público do site WordPress.

Rich Reviews <= 1.7.4 – Unauthenticated Plugin Options Update

Foi constatado que esse problema era explorado ativamente em caráter selvagem pelo fornecedor de segurança Wordfence. Consulte as referências para mais detalhes.

O plug-in foi removido do repositório de plug-ins do WordPress em 11 de março de 2019.

DELUCKS SEO <= 2.1.7 – Unauthenticated Options Update

Este plugin foi visto ativamente explorado na natureza e foi removido do repositório de plugins do WordPress em 22 de setembro de 2019.

A atualização está disponível no site do fornecedor: https://delucks.com/en/wordpress-seo-plugin/information-about-the-hack/

Ultimate FAQ < 1.8.25 – Unauthenticated Options Import/Export

O plug-in WordPress Ultimate FAQ, que possui mais de 30.000 instalações ativas, está propenso a uma vulnerabilidade de importação de opções não autenticadas na versão 1.8.24 e abaixo que poderia levar à injeção de conteúdo.


Artigos Relacionados


Está gostando dos artigos do blog? Tem muito mais na Área de Membros do Patreon, onde adiciono diariamente conteúdo exclusivo, dicas de plugins, temas e notificações de segurança para assinantes por apenas $1 por mês. Acesse https://patreon.com/luizeof e assine para começar a receber o conteúdo por e-mail ou no app do Patreon.

Luiz Eduardo

Infra @ Powertic, Rails Developer, Maintainer do Mautic Docker e do Saelos Docker, Revisor da Tradução do Mautic, Administrador da Comunidade Mautic Brasil.

Deixe uma resposta

Esse site utiliza o Akismet para reduzir spam. Aprenda como seus dados de comentários são processados.

Fechar Menu