Motors – Car Dealership & Classified Listings · plugin de classificados de veículos
Afeta: sites com cadastro de usuários aberto
Quem tem uma conta simples no site pode apagar imagens enviadas por outras pessoas, como fotos de anúncios, logos e avatares. Só preocupa sites com cadastro aberto.
Você mesmo
- Atualizar o Motors para a 1.4.129 ou mais recente (a 1.4.130 é a atual).
- Conferir se anúncios e perfis de concessionárias continuam com as imagens.
- Manter um backup recente da pasta de uploads.
Seu dev ou hospedagem
- Procurar valores suspeitos em user meta: wp db query "SELECT user_id, meta_value FROM wp_usermeta WHERE meta_key='stm_dealer_logo_path'".
- Comparar wp-content/uploads com o backup para identificar imagens apagadas.
Detalhes técnicos: No Motors – Car Dealership & Classified Listings até a 1.4.128, a função stm_save_user_extra_fields() grava em user meta o caminho stm_dealer_logo_path enviado pelo usuário sem conferir se o arquivo é dele; depois, um unlink() acionado pelo formulário “Become a dealer” apaga o arquivo. Um usuário com conta de Assinante pode apagar imagens em wp-content/uploads, como avatares, logos de concessionárias e mídias de outros usuários; as travas de caminho impedem apagar arquivos fora de uploads, como o wp-config.php. CVSS 8.1; sem relato de exploração ativa. A correção está na 1.4.129 (“minor security bug fixes”).