5 itens hoje. Um vale para todos os sites; os outros quatro só importam se você usa o software citado.
Resumo em 10 segundos
- WordPress — todos os sitesAtualize esta semana
- WP Post AuthorAtualize esta semana
- Enable SVG, WebP, and ICO UploadFique de olho
- JoomSportFique de olho
- LiteSpeed CacheFique de olho
Não usa WP Post Author, Enable SVG, WebP, and ICO Upload, JoomSport nem LiteSpeed Cache? Confira só o item para todos os sites e pronto: seu site não precisa de mais nada desta nota.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Para todos os sites
WordPress 7.1.4 corrige 22 falhas, incluindo uma no processo de atualização que pode permitir executar código no servidor
A nova versão do WordPress fecha 22 brechas. A principal poderia permitir que alguém de fora executasse código no servidor durante os poucos segundos de uma atualização; as outras deixam usuários com conta no site gravar código que roda no navegador de quem abre a página.
Você mesmo
- Atualizar o WordPress para a 7.1.4 (ou para a versão corrigida do seu ramo, como 7.0.8 ou 6.9.11) em Painel > Atualizações.
- Conferir se a atualização automática já foi aplicada.
- Revisar quem tem conta de Colaborador ou superior em Usuários.
Seu dev ou hospedagem
- Bloquear o acesso web a wp-content/upgrade/ no servidor (Nginx/Apache) e garantir que a pasta não possa ser listada.
- Confirmar a versão com: wp core version e, se preciso, wp core update.
- Um firewall em nível de PHP não barra a falha do processo de atualização; a proteção precisa ser no servidor web.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
WP Post Author
caixa de autor
Afeta: sites que configuraram o reCAPTCHA no plugin
Qualquer visitante consegue ver a chave secreta do reCAPTCHA do site, o que permite usar a sua conta do reCAPTCHA de forma indevida.
Você mesmo
- Atualizar o WP Post Author para a 4.2.0 ou mais recente.
- Gerar uma nova chave secreta no painel do Google reCAPTCHA e atualizar no plugin.
- Conferir os dados do primeiro usuário (normalmente o administrador) em Usuários.
Seu dev ou hospedagem
- Rotacionar o par de chaves do reCAPTCHA.
- Verificar nos logs de acesso requisições à REST API de posts com parâmetros do WP Post Author.
Enable SVG, WebP, and ICO Upload
plugin de envio de SVG e ícones
Quem tem conta de Autor pode enviar uma imagem SVG que roda código no navegador de quem a abre no Safari, inclusive de administradores.
Você mesmo
- Atualizar o Enable SVG, WebP, and ICO Upload para a 1.1.6 ou mais recente.
- Revisar quem tem conta de Autor ou superior em Usuários.
Seu dev ou hospedagem
- Procurar SVGs em wp-content/uploads com , ou href="javascript:".
- Servir SVGs com Content-Security-Policy restritiva ou Content-Disposition: attachment.
JoomSport
plugin de ligas esportivas
Quem tem uma conta de Colaborador no site pode extrair dados do banco, como e-mails e senhas criptografadas de usuários.
Você mesmo
- Ficar de olho em uma atualização do JoomSport e aplicá-la assim que sair.
- Revisar quem tem conta de Colaborador ou superior em Usuários e remover contas desnecessárias.
- Se não usa o plugin, desativá-lo.
Seu dev ou hospedagem
- Bloquear no WAF valores não numéricos no parâmetro team_id.
- Revisar logs por requisições com team_id contendo SQL.
LiteSpeed Cache
cache
Afeta: sites com a opção HTML Minify ativa e plugins que colocam comentários em dados estruturados (JSON-LD)
Em uma combinação específica de configurações, um visitante pode deixar num comentário um código que roda no navegador de quem abre a página.
Você mesmo
- Atualizar o LiteSpeed Cache para a versão mais recente (7.9.2 ou superior).
- Se não precisar, desativar a opção HTML Minify em LiteSpeed Cache > Page Optimization.
- Manter os comentários com moderação manual.
Seu dev ou hospedagem
- Verificar se algum plugin de SEO/schema insere texto de comentários em blocos JSON-LD.
- Revisar comentários recentes em busca de tags .
- Considerar uma CSP que bloqueie scripts inline.