15 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- CTX FeedAtualize esta semana
- Form Maker by 10WebAtualize esta semana
- GetPaidAtualize esta semana
- LiteSpeed CacheAtualize esta semana
- Motors – Car Dealership & Classified ListingsAtualize esta semana
- Order TrackingAtualize esta semana
- Quick Event ManagerAtualize esta semana
- Stape Conversion TrackingAtualize esta semana
- wpDiscuzAtualize esta semana
- EventinFique de olho
- GiveWPFique de olho
- MDTF – Meta Data and Taxonomies FilterFique de olho
- Posts Table with Search & SortFique de olho
- UsersWPFique de olho
- WP User ManagerFique de olho
Não usa CTX Feed, Form Maker by 10Web, GetPaid, LiteSpeed Cache, Motors – Car Dealership & Classified Listings, Order Tracking, Quick Event Manager, Stape Conversion Tracking, wpDiscuz, Eventin, GiveWP, MDTF – Meta Data and Taxonomies Filter, Posts Table with Search & Sort, UsersWP nem WP User Manager? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
CTX Feed
plugin de feeds de produtos
Quem tem o papel de Gerente de loja no WooCommerce pode usar os modelos de feed do plugin para executar código no servidor e tomar o site. Só preocupa lojas que dão esse papel a pessoas que não são de total confiança.
Você mesmo
- Atualizar o CTX Feed para a versão 8.0.42 ou mais recente.
- Conferir em Usuários quem tem o papel de Gerente de loja e manter só pessoas de confiança.
- Revisar os feeds com modelo Custom Template 2 que o plugin listar para revisão depois da atualização.
Seu dev ou hospedagem
- Revisar feeds existentes em busca de código PHP inesperado no campo feedConfigCustom2.
- Desativar a opção ctxfeed_custom2_eval_enabled se o recurso não for usado.
- Conferir logs de alteração de feeds por contas de Shop Manager.
Form Maker by 10Web
plugin de formulários
Qualquer visitante pode enviar um formulário com um código escondido que roda no navegador do administrador quando ele abre as respostas no painel. Com isso, o invasor pode agir em nome do administrador e até tomar o site.
Você mesmo
- Atualizar o Form Maker para a 1.15.51 ou mais recente.
- Até atualizar, evitar abrir a lista de envios dos formulários no painel.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Procurar tags , onerror= ou javascript: nos envios salvos (tabela wp_formmaker_submits).
- Aplicar CSP no wp-admin para reduzir o impacto de scripts injetados.
- Revisar no log de atividades ações feitas pelo administrador logo após abrir os envios.
GetPaid
plugin de pagamentos e faturas
Um visitante sem login pode “comprar” pelo formulário de pagamento sem pagar nada e ter a fatura marcada como paga, além de ver e mexer em faturas pendentes de outros clientes. Isso pode gerar entregas de produtos ou serviços sem pagamento.
Você mesmo
- Atualizar o GetPaid para a 2.8.63 ou mais recente (a 2.8.64 é a atual).
- Conferir em GetPaid > Faturas se há faturas pagas com total zero ou itens com quantidade negativa.
- Antes de entregar um pedido, confirmar no painel do gateway (PayPal, Stripe etc.) que o pagamento existe.
Seu dev ou hospedagem
- Procurar faturas suspeitas: itens com quantity < 0 nas tabelas do GetPaid (wp_getpaid_invoice_items).
- No WAF, bloquear envios de formulário do GetPaid com quantidade negativa enquanto a atualização não é aplicada.
- Revisar nos logs requisições com o parâmetro maybe_use_invoice.
LiteSpeed Cache
cache
Afeta: lojas WooCommerce com o LiteSpeed Cache e a opção Cache REST ativa (padrão)
Em lojas WooCommerce que usam o LiteSpeed Cache, um visitante qualquer pode receber a página de carrinho ou checkout guardada de outro cliente, vendo nome, endereço, e-mail, telefone e itens da compra, e até assumir aquela sessão de compra.
Você mesmo
- Atualizar o LiteSpeed Cache para a 7.9.2 ou mais recente (a 7.9.3 é a atual).
- Limpar todo o cache do LiteSpeed depois de atualizar.
- Se não puder atualizar agora, desativar a opção Cache REST nas configurações de cache do plugin.
Seu dev ou hospedagem
- Purgar o cache de /wp-json/wc/store/v1/cart e /wp-json/wc/store/v1/checkout (wp litespeed-purge all).
- Conferir com curl sem cookies se as respostas da Store API voltam com x-litespeed-cache: hit.
- Se houver indício de vazamento, invalidar sessões do WooCommerce (tabela wp_woocommerce_sessions).
Motors – Car Dealership & Classified Listings
plugin de classificados de veículos
Afeta: sites com cadastro de usuários aberto
Quem tem uma conta simples no site pode apagar imagens enviadas por outras pessoas, como fotos de anúncios, logos e avatares. Só preocupa sites com cadastro aberto.
Você mesmo
- Atualizar o Motors para a 1.4.129 ou mais recente (a 1.4.130 é a atual).
- Conferir se anúncios e perfis de concessionárias continuam com as imagens.
- Manter um backup recente da pasta de uploads.
Seu dev ou hospedagem
- Procurar valores suspeitos em user meta: wp db query "SELECT user_id, meta_value FROM wp_usermeta WHERE meta_key='stm_dealer_logo_path'".
- Comparar wp-content/uploads com o backup para identificar imagens apagadas.
Order Tracking
plugin de acompanhamento de pedidos
Afeta: sites que recebem pagamentos pelo PayPal no Order Tracking
Um invasor pode fazer um pedido aparecer como pago no site pagando alguns centavos para ele mesmo no PayPal. Só preocupa quem recebe pagamentos pelo PayPal dentro do plugin.
Você mesmo
- Atualizar o Order Tracking para a 3.6.0 ou mais recente (a 3.6.1 é a atual); o fabricante recomenda testar antes num site de testes, porque a 3.6.0 é uma atualização grande.
- Conferir no painel do PayPal se os pedidos marcados como pagos têm o pagamento correspondente.
Seu dev ou hospedagem
- Cruzar pedidos pagos com o histórico de transações do PayPal (receiver_email e mc_gross).
- Revisar nos logs requisições ao endpoint de IPN do plugin vindas de fora dos IPs do PayPal.
Quick Event Manager
plugin de eventos e inscrições
Um visitante sem login pode fazer uma inscrição paga aparecer como paga sem ter pago nada, e também ver eventos que ainda estão em rascunho ou são privados.
Você mesmo
- Atualizar o Quick Event Manager para a 9.19 ou mais recente (a 9.19.2 é a atual).
- Conferir no painel do PayPal se cada inscrição marcada como paga tem um pagamento correspondente.
Seu dev ou hospedagem
- Revisar nos logs chamadas ao listener de IPN do plugin com o parâmetro debug.
- Cruzar os registros de inscrição pagos com o histórico de transações do PayPal.
Stape Conversion Tracking
plugin de rastreamento de conversões
Um visitante sem login pode usar o site para acessar endereços internos do servidor e fazer o seu domínio exibir conteúdo preparado por ele, inclusive um código que roda no navegador de quem abre o link.
Você mesmo
- Atualizar o Stape Conversion Tracking para a 2.3.11 ou mais recente.
- Se não usa o recurso de proxy do Stape, desativá-lo nas configurações do plugin.
Seu dev ou hospedagem
- Revisar nos logs requisições ao proxy do plugin com subcaminhos incomuns (../, 127.0.0.1, 169.254.169.254, localhost).
- Bloquear no firewall de saída do servidor o acesso do PHP a endereços internos e ao serviço de metadados da nuvem.
wpDiscuz
plugin de comentários
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre a página de comentários. Se for um administrador, o invasor pode agir em nome dele.
Você mesmo
- Atualizar o wpDiscuz para a versão 7.6.74 ou mais recente (a 7.6.75 já está disponível).
- Limpar o cache do site e da CDN depois da atualização, como pede o fabricante.
- Conferir comentários recentes com conteúdo estranho.
Seu dev ou hospedagem
- Ativar regra de WAF contra XSS em envio de comentários.
- Aplicar Content-Security-Policy restringindo scripts inline.
- Procurar tags ou atributos on* em wp_comments e na tabela de metadados do wpDiscuz.
Eventin
plugin de eventos e ingressos
Quem tem uma conta simples no site pode ver o e-mail e o telefone de qualquer usuário, inclusive do administrador, o que facilita golpes e tentativas de invasão. Preocupa sites com cadastro aberto.
Você mesmo
- Manter o Eventin na versão mais recente (4.1.30 ou superior) e instalar a próxima atualização assim que sair.
- Se o cadastro estiver aberto e não for essencial, considerar fechá-lo até a correção.
- Avisar a equipe para desconfiar de contatos inesperados por e-mail ou telefone.
Seu dev ou hospedagem
- Monitorar nos logs requisições de assinantes ao Eventin variando o parâmetro id.
- Aplicar regra de WAF limitando essas consultas a papéis de gestão.
GiveWP
doações
Afeta: sites que dão o papel GiveWP Manager a alguém
Quem tem o papel de gerente do GiveWP pode mudar uma configuração para que toda pessoa que doar ganhe uma conta com poderes de editor ou até de administrador, o que pode levar à tomada do site. Só preocupa sites que dão esse papel a pessoas de fora da equipe.
Você mesmo
- Atualizar o GiveWP para a 4.19.1.1 ou mais recente.
- Em Doações > Configurações > Avançado, conferir se o papel padrão dos doadores é "Doador" ou "Assinante".
- Conferir em Usuários se há doadores com papel de Editor, Autor ou Administrador.
Seu dev ou hospedagem
- Verificar o valor atual: wp option get give_settings --format=json | grep donor_default_user_role.
- Listar contas criadas recentemente com papel elevado: wp user list --role=administrator,editor,author --fields=ID,user_login,user_registered.
- Revisar quem tem a capacidade manage_give_settings.
MDTF – Meta Data and Taxonomies Filter
plugin de filtros de busca
Um visitante sem login pode deixar gravado um código que roda no navegador de quem abre a página de resultados do filtro. Se for um administrador, o invasor pode agir em nome dele.
Você mesmo
- Se não usar o filtro, desativar o plugin.
- Se usar, considerar tirar o shortcode [meta_data_filter_results] das páginas até sair a correção.
- Instalar a próxima atualização assim que sair.
Seu dev ou hospedagem
- Bloquear no WAF valores com HTML/JavaScript no parâmetro vars.
- Aplicar Content-Security-Policy restringindo scripts inline.
Posts Table with Search & Sort
plugin de tabelas de posts
Quem tem uma conta de Colaborador no site pode gravar, numa tabela de posts, um código que roda no navegador de quem abre a página. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Conferir em Usuários quem tem papel de Colaborador ou superior.
- Instalar a próxima atualização do plugin assim que sair.
Seu dev ou hospedagem
- Procurar shortcodes [posts_table] com date_format incomum em posts de colaboradores.
- Aplicar Content-Security-Policy restringindo scripts inline.
UsersWP
login, cadastro e perfis
Quem tem uma conta de Colaborador no site pode gravar um código que roda no navegador de quem abre a página, inclusive do administrador. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o UsersWP para a versão 1.2.81 ou mais recente.
- Conferir em Usuários quem tem papel de Colaborador ou superior.
Seu dev ou hospedagem
- Procurar HTML ou scripts inesperados nos metadados de badge dos usuários.
- Aplicar Content-Security-Policy restringindo scripts inline.
WP User Manager
plugin de cadastro e perfis
Quem tem uma conta simples no site pode gravar no próprio nome um código que roda no navegador de quem abre o perfil ou a lista de membros, inclusive do administrador. Preocupa principalmente sites com cadastro aberto.
Você mesmo
- Instalar a próxima atualização do WP User Manager assim que sair.
- Se o cadastro estiver aberto e não for essencial, considerar fechá-lo em Configurações > Geral até a correção.
- Conferir nomes de usuários recentes com caracteres estranhos.
Seu dev ou hospedagem
- Bloquear no WAF valores com tags HTML no campo name de /wp/v2/users.
- Aplicar Content-Security-Policy restringindo scripts inline.
- Auditar display_name, first_name e last_name em wp_users/wp_usermeta em busca de scripts.