Resumo: Foram divulgadas várias falhas no OWASP ModSecurity, o WAF de código aberto usado por muitas hospedagens (inclusive em cPanel/Plesk) na frente de sites WordPress. A mais grave (GHSA-5pww-8rfg-9crf, alta) explora o parâmetro filename* (RFC 2231) em uploads multipart para enviar arquivos que escapam das regras de nome/extensão. Outras afetam as transformações t:base64DecodeExt e removeComments, a inspeção do corpo da resposta, o processador XML e o tratamento de erros de limite do PCRE2, permitindo que payloads de SQL injection, XSS ou web shell passem sem ser detectados. Isso não afeta o WordPress em si, mas reduz a proteção de quem conta com o WAF do servidor para barrar exploits de plugins.
Fonte: Cyber Security News
O que fazer: Se você administra o servidor, acompanhe os avisos em github.com/owasp-modsecurity/ModSecurity/security/advisories e atualize o ModSecurity e o OWASP CRS assim que houver versão corrigida. Se usa hospedagem compartilhada, pergunte ao suporte se o ModSecurity já foi atualizado. Em qualquer caso, não dependa só do WAF: mantenha plugins atualizados e use também um firewall no nível da aplicação (Wordfence, Patchstack ou Sucuri).