Atualize esta semana
s2Member · plugin de áreas de membros
Vulnerável: até a 260927Seguro: versões acima da 260927
Um visitante sem login pode executar código no servidor e tomar o site. A versão mais recente do plugin já traz correções de segurança.
Você mesmo
- Atualizar o s2Member para a versão mais recente (261017 ou superior) em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
- Se não for possível atualizar agora, desativar o plugin até atualizar.
Seu dev ou hospedagem
- Procurar arquivos PHP inesperados em wp-content/ e wp-content/uploads/.
- Revisar os modelos de Signup Tracking Codes do s2Member por código PHP inserido.
- Confirmar a versão com: wp plugin get s2member --field=version
Detalhes técnicos: A Patchstack listou em 2 de novembro uma execução remota de código sem autenticação no s2Member (plugin de áreas de membros, mais de 8 mil instalações) que afeta as versões até a 260927, com nota 10. Ainda não há CVE nem detalhes técnicos publicados. A versão atual no wordpress.org é a 261017, que inclui correções de segurança; a fonte não confirma em qual versão esta falha foi corrigida. Não há relato de exploração ativa.