3 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
Não usa Bricks, Page and Post Restriction nem WP Crowdfunding? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins ou temas
Não está na sua lista? Pode pular.
Bricks
tema construtor de páginas
Qualquer visitante, sem login, pode ler o conteúdo de páginas que ainda estão em rascunho ou não foram publicadas no site. Isso pode expor textos, preços ou anúncios antes da hora.
Você mesmo
- Atualizar o tema Bricks para a versão 2.4.1 ou mais recente
- Enquanto não atualiza, evitar deixar informações sensíveis em páginas em rascunho
Seu dev ou hospedagem
- Bloquear no WAF requisições anônimas a /wp-json/bricks/v1/load_popup_content com popupId de posts não publicados
- Revisar logs de acesso em busca de chamadas a load_popup_content e à ação bricks_regenerate_query_nonce
Page and Post Restriction
plugin de restrição de conteúdo
Se alguém logado no site abrir um link malicioso, o invasor pode conseguir ver páginas e posts que o plugin deveria manter restritos. Vale atualizar o plugin.
Você mesmo
- Atualizar o Page and Post Restriction para a versão 1.6.2 ou mais recente
- Orientar quem tem login no site a não abrir links desconhecidos enquanto estiver conectado
Seu dev ou hospedagem
- Conferir se conteúdo restrito aparece via REST API, feeds e arquivos após a atualização
- Revisar logs de acesso a posts restritos
WP Crowdfunding
plugin de financiamento coletivo
Uma pessoa sem login pode ver dados que deveriam ser privados nas campanhas de financiamento coletivo do site, possivelmente de apoiadores. Ainda não existe versão corrigida.
Você mesmo
- Acompanhar a página do plugin e atualizar assim que sair uma versão acima da 2.2.2
- Se as campanhas não estiverem em uso, desativar o plugin até a correção
- Perguntar à hospedagem ou ao serviço de segurança se o WAF já bloqueia essa falha
Seu dev ou hospedagem
- Aplicar regra virtual de WAF (ex.: Patchstack) para o WP Crowdfunding
- Revisar logs de acesso a endpoints AJAX/REST do plugin vindos de visitantes não autenticados