8 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- AI EngineAtualize esta semana
- Calculated Fields FormAtualize esta semana
- GetPaidAtualize esta semana
- JoinchatAtualize esta semana
- NotificationXAtualize esta semana
- ProfilePressAtualize esta semana
- WPS Bookings for WooCommerceAtualize esta semana
- ARFormsFique de olho
Não usa AI Engine, Calculated Fields Form, GetPaid, Joinchat, NotificationX, ProfilePress, WPS Bookings for WooCommerce nem ARForms? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
AI Engine
plugin de chatbot com IA
Um visitante sem login pode deixar gravado no site um código que roda no navegador de quem abrir o conteúdo depois, inclusive de administradores.
Você mesmo
- Atualizar o AI Engine para a 3.9.2 ou mais recente.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Revisar conversas e registros salvos pelo chatbot em busca de tags script ou atributos on*.
Calculated Fields Form
plugin de formulários com cálculos
Um atacante pode mandar um link do seu site que, ao ser aberto, roda um código no navegador de quem clicou. Se for um administrador logado, o código pode agir no painel em nome dele.
Você mesmo
- Atualizar o Calculated Fields Form para a 5.5.2.9 ou mais recente.
- Evitar abrir, logado como administrador, links estranhos para páginas do seu próprio site.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Ativar regras de XSS no WAF para as páginas com formulários do plugin.
GetPaid
plugin de pagamentos e faturas
Um visitante sem login pode “comprar” pelo formulário de pagamento sem pagar e ter a fatura marcada como paga. Isso pode gerar entregas de produtos ou serviços sem receber.
Você mesmo
- Atualizar o GetPaid para a 2.8.65 ou mais recente (mesmo quem já tinha atualizado para a 2.8.63).
- Conferir em GetPaid > Faturas se há faturas pagas com valor menor que o esperado ou quantidades quebradas.
- Antes de entregar um pedido, confirmar no painel do gateway (PayPal, Stripe etc.) que o pagamento existe.
Seu dev ou hospedagem
- Procurar itens com quantity não inteira em wp_getpaid_invoice_items.
- No WAF, bloquear envios de formulário do GetPaid com quantidade decimal enquanto a atualização não é aplicada.
Joinchat
botão de chat do WhatsApp
Afeta: sites que usam a variável {HREF} no texto da chamada para ação
Se o texto do botão do WhatsApp usa a variável {HREF}, um atacante pode mandar um link do seu site que roda um código no navegador de quem clicar.
Você mesmo
- Atualizar o Joinchat para a 6.3.2 ou mais recente.
- Se não puder atualizar agora, tirar a variável {HREF} do texto da chamada para ação.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Ativar regras de XSS refletido no WAF.
NotificationX
plugin de notificações de vendas
Um visitante sem login pode ler posts que ainda não foram publicados, privados ou protegidos por senha, e acionar recursos de outros plugins pelo site.
Você mesmo
- Atualizar o NotificationX para a 3.3.7 ou mais recente.
- Se houver rascunhos ou posts privados com informação sensível, considerar que podem ter sido lidos.
Seu dev ou hospedagem
- Revisar nos logs requisições de front-end com parâmetros de preview do NotificationX.
- Avaliar quais shortcodes registrados no site poderiam ser executados por visitantes.
ProfilePress
plugin de cadastro e assinaturas
Afeta: sites que usam diretórios de membros ou planos de assinatura do ProfilePress
Um visitante sem login pode ver membros que o diretório do site deveria esconder e dados guardados nos perfis deles. Assinantes também podem entrar em planos que você desativou.
Você mesmo
- Atualizar o ProfilePress para a 4.17.6 ou mais recente.
- Conferir quais informações dos perfis aparecem nos diretórios de membros.
- Revisar se algum assinante entrou recentemente em planos desativados.
Seu dev ou hospedagem
- Revisar nos logs requisições aos diretórios de membros com parâmetros de role ou meta inesperados.
- Conferir se há dados sensíveis guardados em usermeta que possam ter sido expostos.
WPS Bookings for WooCommerce
plugin de reservas para WooCommerce
Um visitante sem login pode fazer uma reserva pagando o valor que quiser, até zero. A loja pode acabar prestando serviços sem receber.
Você mesmo
- Atualizar o WPS Bookings for WooCommerce para a 3.13.1 ou mais recente.
- Conferir em WooCommerce > Pedidos se há reservas recentes com valor abaixo do preço normal ou zerado antes de confirmar.
Seu dev ou hospedagem
- Comparar o total dos pedidos de reserva com o preço cadastrado do produto para achar pedidos adulterados.
- Revisar nos logs requisições de adicionar ao carrinho com parâmetro de preço.
ARForms
plugin de formulários
Afeta: sites com a versão paga do ARForms
Um visitante sem login pode enviar, por um formulário com campo de arquivo, um arquivo que executa comandos no servidor e assim tomar o site. Também consegue deixar um código escondido nas respostas que roda quando o administrador as abre.
Você mesmo
- Atualizar para a 7.3 ou mais recente e confirmar com o suporte do ARForms se ela corrige as falhas.
- Enquanto não houver correção confirmada, tirar do ar ou remover o campo de envio de arquivo dos formulários públicos, ou desativar o plugin.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Bloquear no WAF requisições ao envio de arquivos do ARForms com cabeçalho X-FILENAME terminando em .php ou similares.
- Impedir a execução de PHP em wp-content/uploads (incluindo as pastas do ARForms).
- Procurar arquivos .php recentes em wp-content/uploads.
- Revisar entradas de formulário com HTML/JavaScript nos campos page_url e http_referrer.