Resumo: A Wordfence divulgou uma SQL injection de segunda ordem no Backuply (até 1.5.8, CVSS 8.0), plugin de backup com mais de 600 mil instalações. Um usuário com papel de assinante grava um payload no campo “Informações biográficas” do perfil; quando um administrador restaura um backup feito depois disso, o SQL injetado ativa o cadastro aberto e define “administrador” como papel padrão, permitindo que o atacante crie uma conta de administrador e assuma o site. A correção saiu na versão 1.5.9 (1º de outubro); não há exploração ativa confirmada.
Fonte: Wordfence
O que fazer: Atualize o Backuply para a 1.5.9 ou superior antes de fazer qualquer restauração. Em Configurações > Geral, confira se “Qualquer pessoa pode se registrar” está desmarcado e se o “Papel padrão de novos usuários” não é Administrador; revise os campos biográficos de assinantes e evite restaurar backups antigos sem inspecioná-los.