6 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- CryptoPayment Gateway — pouco usado no BrasilAtue hoje
- Advanced Custom Fields: Extended PROAtualize esta semana
- Easy Digital DownloadsAtualize esta semana
- SureCartAtualize esta semana
- WP CompressAtualize esta semana
- AI Alt Text GeneratorFique de olho
Não usa CryptoPayment Gateway, Advanced Custom Fields: Extended PRO, Easy Digital Downloads, SureCart, WP Compress nem AI Alt Text Generator? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
CryptoPayment Gateway
gateway de pagamento em criptomoedas
Qualquer visitante, sem login, consegue apagar arquivos do site, trocar a configuração de pagamento e ver as credenciais das carteiras de criptomoedas ligadas à loja. Não existe correção e já há tentativas de ataque.
Você mesmo
- Desativar e remover o plugin CryptoPayment Gateway: não há versão corrigida e ele foi retirado do wordpress.org.
- Trocar as chaves e credenciais das carteiras de criptomoedas que estavam configuradas no plugin.
- Conferir se as configurações de pagamento e os endereços de carteira da loja não foram alterados.
- Conferir administradores em Usuários e perguntar à hospedagem se há arquivos apagados ou alterados.
Seu dev ou hospedagem
- Bloquear no WAF as chamadas a admin-ajax.php com as ações do plugin vindas de visitantes não autenticados enquanto o plugin não for removido.
- Procurar nos logs de acesso POSTs para admin-ajax.php ligados ao plugin vindos de IPs desconhecidos (a Defused Cyber cita infraestrutura de 'Anonymous KYC-Free VPS Hosting').
- Conferir a integridade de wp-config.php e de outros arquivos críticos e restaurar de backup se algo tiver sido apagado.
- Rotacionar segredos guardados nas opções do plugin no banco.
Advanced Custom Fields: Extended PRO
extensão de campos personalizados
Afeta: sites com a versão PRO paga; a versão gratuita do wordpress.org não aparece como afetada
Em sites que usam a versão PRO com uma opção de pré-visualização ativada nos formulários (ou em servidores sem o OpenSSL), um visitante sem login pode fazer o site executar funções internas do WordPress e, com isso, tomar o site.
Você mesmo
- Atualizar o ACF Extended PRO para a versão mais recente (0.9.2.8 ou superior) pela conta em acf-extended.com.
- Nos formulários do ACF Extended, desativar a opção de pré-visualização de shortcode (shortcode_preview) se ela não for necessária.
- Perguntar à hospedagem se a extensão OpenSSL do PHP está ativa.
Seu dev ou hospedagem
- Confirmar que a extensão openssl está carregada: php -m | grep -i openssl.
- Revisar formulários ACFE com shortcode_preview ativado.
- Procurar nos logs requisições de visitantes a formulários ACFE com parâmetros de configuração incomuns e conferir novos administradores, opções alteradas e arquivos PHP em wp-content/uploads.
- Confirmar a versão com: wp plugin list | grep acf-extended.
Easy Digital Downloads
plugin de venda de downloads
Afeta: lojas que aceitam pagamento pelo PayPal com compra como visitante
Em lojas que aceitam PayPal, um invasor pode fazer uma compra como visitante usando o e-mail do administrador e acabar logado na conta dele, podendo tomar o site. A atualização resolve.
Você mesmo
- Atualizar o Easy Digital Downloads para a versão 3.7.3 ou mais recente.
- Até atualizar, desativar a compra como visitante ou o PayPal nas configurações de pagamento.
- Conferir administradores em Usuários e os pedidos recentes feitos como visitante com e-mails da equipe.
Seu dev ou hospedagem
- Procurar pedidos de visitante pagos via PayPal cujo e-mail corresponda a contas de administrador ou editor.
- Revisar logins recentes de administradores e encerrar sessões suspeitas.
- Confirmar a versão com: wp plugin get easy-digital-downloads --field=version.
SureCart
plugin de loja virtual
Um invasor sem login pode tentar adivinhar o código de acesso sem senha de qualquer conta do site, inclusive a do administrador, e, se acertar, entrar como essa pessoa e tomar o site. A atualização resolve.
Você mesmo
- Atualizar o SureCart para a versão 4.9.6 ou mais recente (a atual é a 4.11.0).
- Conferir administradores em Usuários e remover contas que você não reconhece.
- Ativar a autenticação em dois fatores para as contas de administrador.
Seu dev ou hospedagem
- Procurar nos logs muitas requisições seguidas às rotas REST de código de verificação do SureCart (wp-json/surecart/...verification...) vindas de IPs variados.
- Aplicar rate limit nessas rotas no WAF ou no servidor web.
- Conferir logins recentes de administradores e encerrar sessões suspeitas (wp user session destroy --all, se o pacote estiver instalado).
- Confirmar a versão com: wp plugin get surecart --field=version.
WP Compress
plugin de otimização e cache
Afeta: sites no modo gratuito/lite ou sem chave de API salva
Em sites que usam o WP Compress no modo gratuito ou sem conta conectada, um visitante sem login pode ligar o site à conta dele, mudar as configurações de otimização e mexer no cache, o que pode deixar o site lento ou com páginas quebradas.
Você mesmo
- Atualizar o WP Compress para a versão mais recente (7.30.30 ou superior).
- Conferir nas configurações do plugin se o site está ligado à sua conta do WP Compress e se o modo de CDN é o que você escolheu.
- Se não usa o plugin, desativá-lo.
Seu dev ou hospedagem
- Conferir a api_key salva nas opções do plugin e gerar uma nova se houver suspeita de vinculação indevida.
- Procurar nos logs chamadas não autenticadas às ações de conexão do plugin (parâmetros force_ic_connect e apikey).
- Confirmar a versão com: wp plugin get wp-compress-image-optimizer --field=version.
AI Alt Text Generator
gerador de texto alternativo
Quem tem uma conta de Colaborador no site pode trocar o texto alternativo e, em algumas configurações, o título e a legenda de imagens enviadas por outras pessoas. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o AI Alt Text Generator para a versão 2.7.1 ou mais recente.
- Revisar quem tem conta de Colaborador ou superior em Usuários.
Seu dev ou hospedagem
- Confirmar a versão com: wp plugin get ai-alt-text-generator --field=version.