Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Alguém pode fingir ser o Stripe e fazer a loja registrar como pago um pedido que nunca foi pago. Atualizar o plugin e configurar o segredo do webhook resolve.
Qualquer visitante pode ver formulários de doação que ainda não foram publicados, e usuários com acesso parcial ao GiveWP conseguem mexer em páginas e dados de doadores que não deveriam. A atualização resolve tudo.
Quem já tem uma conta de autor ou colaborador no site consegue criar contas com mais poderes, como editor, ou gravar um código que roda no navegador de quem abre a página. Só preocupa sites que dão contas a pessoas…
Um invasor pode enviar um link que, se for clicado por alguém logado no site (como um administrador), roda um código no navegador dessa pessoa e pode agir em nome dela. Em redes multisite, administradores de um subsite também conseguiam…
O PHP, linguagem em que o WordPress roda, tem uma nova falha que, em configurações muito específicas, poderia deixar um invasor executar código no servidor. É improvável que afete um site WordPress comum, e a mesma configuração recomendada para o…
Duas falhas no próprio PHP permitem que um invasor execute código no servidor sem login, e já há ataques. Afeta qualquer site em PHP, com ou sem plugins; a correção é atualizar o PHP.
Qualquer pessoa consegue forjar o aviso de pagamento e marcar pedidos como pagos sem pagar, ou marcar pedidos de outros clientes como falhos.
Um visitante consegue zerar o valor da reserva e agendar serviços sem pagar.
Um visitante sem login consegue deixar gravado um código que roda no navegador de quem abre a versão traduzida da página. Se for um administrador logado, o invasor pode roubar a sessão.
Qualquer visitante consegue ver dados que a imobiliária escondeu nos anúncios, como preço e endereço exato do imóvel.
Parte dos downloads do Rank Math SEO PRO 3.0.123 veio com malware, que cria administradores falsos e rouba senhas. Quem instalou ou atualizou nessa janela deve tratar o site como invadido.
Criminosos roubaram chaves do UpdraftCentral e as usaram para instalar plugins maliciosos em sites conectados ao serviço, mesmo nos atualizados.