12 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- Contact Form 7Atue hoje
- Independent Analytics ProAtualize esta semana
- Ninja FormsAtualize esta semana
- PDF Invoices & Packing Slips for WooCommerceAtualize esta semana
- RelevanssiAtualize esta semana
- s2MemberAtualize esta semana
- Ultra Addons for Contact Form 7Atualize esta semana
- WP Directory KitAtualize esta semana
- Kali FormsFique de olho
- MapPressFique de olho
- Media Library AssistantFique de olho
- NextGEN GalleryFique de olho
Não usa Contact Form 7, Independent Analytics Pro, Ninja Forms, PDF Invoices & Packing Slips for WooCommerce, Relevanssi, s2Member, Ultra Addons for Contact Form 7, WP Directory Kit, Kali Forms, MapPress, Media Library Assistant nem NextGEN Gallery? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
Contact Form 7
plugin de formulários de contato
Afeta: sites com Contact Form 7 nas versões 6.2 a 6.2.3
Nas versões 6.2 a 6.2.3, um visitante sem login consegue deixar arquivos no servidor pelo formulário de contato e, dependendo da configuração da hospedagem, executar código e tomar o site. A Patchstack informa que a falha já está sendo explorada.
Você mesmo
- Atualizar o Contact Form 7 para a versão 6.2.4 ou superior (a atual é a 6.2.4.1) em Plugins.
- Conferir em Usuários se não apareceu nenhum administrador desconhecido.
- Perguntar à hospedagem se ela bloqueia a execução de arquivos PHP na pasta de uploads.
Seu dev ou hospedagem
- Procurar arquivos .php, .phar, .pht, .phps e .htaccess em wp-content/uploads/wpcf7_uploads/ e removê-los.
- Bloquear a execução de PHP em wp-content/uploads/ no Nginx/Apache.
- Revisar os logs por POSTs em /wp-json/contact-form-7/v1/contact-forms/*/feedback com anexos suspeitos.
- Confirmar a versão com: wp plugin get contact-form-7 --field=version
Independent Analytics Pro
plugin de estatísticas de visitas
Afeta: sites com a versão Pro (paga) do Independent Analytics
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre as estatísticas do site, normalmente o administrador. Com isso, o invasor pode agir em nome dele e até tomar o site.
Você mesmo
- Atualizar o Independent Analytics Pro para a versão 2.16.0 ou superior em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que restrinja scripts inline no painel.
- Confirmar a versão com: wp plugin get independent-analytics-pro --field=version
Ninja Forms
formulários
Um visitante sem login pode fazer o formulário rodar recursos internos do site que não deveria, e um link preparado pode rodar um código no navegador de quem clica, inclusive do administrador. A atualização resolve.
Você mesmo
- Atualizar o Ninja Forms para a versão 3.15.6 ou superior (a atual é a 3.15.7) em Plugins.
- Evitar clicar em links estranhos enquanto estiver logado como administrador.
Seu dev ou hospedagem
- Revisar quais shortcodes de outros plugins estão ativos e poderiam ser acionados pelo formulário.
- Aplicar uma Content Security Policy que restrinja scripts inline.
- Confirmar a versão com: wp plugin get ninja-forms --field=version
PDF Invoices & Packing Slips for WooCommerce
faturas em PDF para WooCommerce
Afeta: lojas com o plugin nas versões 5.16.2 a 5.16.4
Um visitante sem login pode deixar na loja um código que roda no navegador de quem abre o conteúdo, como o administrador. Com isso, o invasor pode agir em nome dele e até tomar o site.
Você mesmo
- Atualizar o PDF Invoices & Packing Slips for WooCommerce para a versão 5.16.5 ou superior em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que restrinja scripts inline no painel.
- Revisar campos de pedidos recentes por trechos com ou atributos on*.
- Confirmar a versão com: wp plugin get woocommerce-pdf-invoices-packing-slips --field=version
Relevanssi
plugin de busca interna
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre a página. Se for um administrador, o invasor pode agir em nome dele e até tomar o site.
Você mesmo
- Atualizar o Relevanssi para a versão 4.28.6 ou superior em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que restrinja scripts inline no painel.
- Revisar os registros de buscas salvos pelo Relevanssi por trechos com ou atributos on*.
- Confirmar a versão com: wp plugin get relevanssi --field=version
s2Member
plugin de áreas de membros
Um visitante sem login pode executar código no servidor e tomar o site. A versão mais recente do plugin já traz correções de segurança.
Você mesmo
- Atualizar o s2Member para a versão mais recente (261017 ou superior) em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
- Se não for possível atualizar agora, desativar o plugin até atualizar.
Seu dev ou hospedagem
- Procurar arquivos PHP inesperados em wp-content/ e wp-content/uploads/.
- Revisar os modelos de Signup Tracking Codes do s2Member por código PHP inserido.
- Confirmar a versão com: wp plugin get s2member --field=version
Ultra Addons for Contact Form 7
extensões para o Contact Form 7
Um visitante sem login pode apagar arquivos do site, o que pode deixar o site fora do ar ou até permitir que o invasor tome o site. A atualização resolve.
Você mesmo
- Atualizar o Ultra Addons for Contact Form 7 para a versão 3.5.55 ou superior em Plugins.
- Confirmar que existe um backup recente do site e dos arquivos.
Seu dev ou hospedagem
- Ativar regra de WAF contra objetos PHP serializados enviados aos formulários até atualizar.
- Monitorar a integridade de wp-config.php e de arquivos do núcleo com: wp core verify-checksums
- Confirmar a versão com: wp plugin get ultimate-addons-for-contact-form-7 --field=version
WP Directory Kit
plugin de diretórios e anúncios
Um visitante sem login pode extrair dados do banco do site, como contas e e-mails de usuários, e até alterar ou apagar informações. A atualização resolve.
Você mesmo
- Atualizar o WP Directory Kit para a versão 1.6.1 ou superior em Plugins.
- Conferir em Usuários se não há administradores desconhecidos.
Seu dev ou hospedagem
- Ativar regra de WAF contra injeção de SQL nos endpoints do plugin até atualizar.
- Revisar logs de acesso por requisições anônimas com parâmetros SQL aos endpoints do WP Directory Kit.
- Confirmar a versão com: wp plugin get wpdirectorykit --field=version
Kali Forms
plugin de formulários
Afeta: sites com cadastro de usuários aberto
Quem tem uma conta simples de Assinante pode ver os e-mails dos usuários do site e usar o site para enviar e-mails fingindo ser outra pessoa. Só preocupa sites com cadastro aberto.
Você mesmo
- Atualizar o Kali Forms para a versão 2.4.30 ou superior em Plugins.
- Conferir em Configurações > Geral se o cadastro de novos usuários precisa mesmo ficar aberto.
MapPress
plugin de mapas
Um visitante sem login pode descobrir endereços de e-mail ligados ao site, que podem ser usados para spam ou tentativas de golpe. A atualização resolve.
Você mesmo
- Atualizar o MapPress para a versão 2.97.15 ou superior em Plugins.
Media Library Assistant
organização da biblioteca de mídia
Quem tem uma conta de Colaborador no site pode gravar um código que roda no navegador de quem abre a página, e assinantes conseguem fazer ações que não deveriam. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o Media Library Assistant para a versão 3.44 ou superior em Plugins.
- Revisar em Usuários quem tem conta de Colaborador ou superior.
NextGEN Gallery
plugin de galerias de fotos
Quem tem uma conta no site com permissão para mexer nas galerias pode executar código no servidor e tomar o site. Só preocupa sites que dão esse tipo de acesso a pessoas de fora da equipe.
Você mesmo
- Atualizar o NextGEN Gallery para a versão 4.5.0 ou superior (a atual é a 4.5.5) em Plugins.
- Revisar em Usuários quem tem permissão para gerenciar galerias.
Seu dev ou hospedagem
- Revisar papéis e capacidades do NextGEN (NextGEN Gallery Overview / Roles) e remover permissões desnecessárias.
- Procurar arquivos PHP inesperados em wp-content/gallery/ e wp-content/uploads/.
- Confirmar a versão com: wp plugin get nextgen-gallery --field=version