6 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- Checkout Files Upload for WooCommerceAtualize esta semana
- MxChatAtualize esta semana
- PayPlug for WooCommerce — pouco usado no BrasilAtualize esta semana
- Customer Email Verification for WooCommerceFique de olho
- Enable Media ReplaceFique de olho
- PostieFique de olho
Não usa Checkout Files Upload for WooCommerce, MxChat, PayPlug for WooCommerce, Customer Email Verification for WooCommerce, Enable Media Replace nem Postie? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
Checkout Files Upload for WooCommerce
envio de arquivos no checkout
Se a lista de tipos de arquivo aceitos estiver vazia nas configurações, qualquer visitante pode enviar pelo checkout um arquivo com código e, dependendo do servidor, executar esse código e tomar o site.
Você mesmo
- Atualizar o Checkout Files Upload for WooCommerce para a versão 2.4.0 ou mais recente
- Nas configurações do plugin, preencher a lista de tipos de arquivo aceitos (ex.: jpg, png, pdf)
- Se não usa o envio de arquivos no checkout, desativar o plugin
- Perguntar à hospedagem se a execução de PHP na pasta de uploads está bloqueada
Seu dev ou hospedagem
- Bloquear a execução de PHP em wp-content/uploads (regra no servidor web ou .htaccess)
- Procurar arquivos .php, .phtml e similares em wp-content/uploads e nas pastas do plugin
- Revisar logs de acesso por POSTs de upload do plugin feitos por visitantes anônimos
- Configurar regra de WAF contra upload de extensões executáveis
MxChat
chatbot com IA
Um visitante pode deixar no chatbot um código escondido que roda no navegador do administrador quando ele abre o histórico de conversas. Com isso, o invasor pode agir como o administrador e até tomar o site.
Você mesmo
- Atualizar o MxChat para a versão 3.2.26 ou mais recente (a atual é a 3.2.27)
- Evitar abrir a página de Transcrições do MxChat antes de atualizar
- Conferir em Usuários se apareceu algum administrador que você não conhece
Seu dev ou hospedagem
- Procurar tags script, atributos on* e javascript: nos registros de feedback do MxChat no banco
- Revisar logs de admin-ajax.php por POSTs anônimos com o parâmetro feedback
- Aplicar CSP restritiva no wp-admin
PayPlug for WooCommerce
gateway de pagamento francês
Afeta: lojas WooCommerce que usam o gateway de pagamento PayPlug
Qualquer visitante, sem conta, pode ver dados de pedidos de clientes, alterar esses pedidos ou apagá-los de vez. Só afeta lojas que recebem pagamentos pela PayPlug, empresa francesa.
Você mesmo
- Atualizar o PayPlug for WooCommerce para a versão 3.1.1 ou mais recente
- Conferir em WooCommerce > Pedidos se há pedidos alterados ou faltando
- Manter um backup recente do banco de dados da loja
Seu dev ou hospedagem
- Revisar logs de admin-ajax.php por ações do PayPlug chamadas por visitantes anônimos com IDs de pedido sequenciais
- Comparar pedidos com os registros do painel da PayPlug
- Configurar regra de WAF para limitar chamadas anônimas às ações AJAX do plugin até a atualização
Customer Email Verification for WooCommerce
verificação de e-mail de clientes
Afeta: lojas que instalaram o plugin numa versão antiga e depois atualizaram
Em lojas que usam o plugin há algum tempo, um invasor pode adivinhar o link de verificação de e-mail e entrar na conta de um cliente, vendo pedidos e dados pessoais.
Você mesmo
- Atualizar o Customer Email Verification for WooCommerce para a versão 2.8.3 ou mais recente
- Conferir em Usuários se há contas de cliente marcadas como verificadas sem motivo
Seu dev ou hospedagem
- Verificar se a tabela cev_user_log tem a coluna password (indica site vulnerável antes da atualização)
- Revisar logs por acessos repetidos a links de verificação de e-mail
- Encerrar sessões de clientes suspeitas com wp user session destroy
Enable Media Replace
substituição de arquivos de mídia
Afeta: sites com usuários no papel de autor ou superior
Quem tem conta de autor no site pode, ao trocar uma imagem, mudar o conteúdo de posts de outras pessoas, inclusive de administradores. Só importa em sites com vários autores.
Você mesmo
- Atualizar o Enable Media Replace para a versão 4.2.3 ou mais recente
- Conferir em Usuários quem tem papel de autor ou superior e remover contas que não são mais usadas
Seu dev ou hospedagem
- Revisar revisões recentes de posts para alterações feitas após substituições de mídia
- Conferir o histórico com wp post list –post_type=revision
Postie
publicação de posts por e-mail
Um invasor pode fazer o Postie publicar um post com um código que roda no navegador de quem abre a página, inclusive o administrador. Ainda não há versão corrigida.
Você mesmo
- Se não usa a publicação de posts por e-mail, desativar o Postie
- Se usa, configurar o Postie para salvar os posts recebidos como rascunho e revisá-los antes de publicar
- Atualizar assim que sair uma versão acima da 1.9.87
Seu dev ou hospedagem
- Bloquear no WAF ou no servidor web o acesso público a ?postie=get-mail e acionar a busca de e-mails por cron do servidor
- Procurar tags script e atributos on* em posts criados pelo Postie
- Aplicar CSP restritiva