10 itens neste dia. Todos só importam se você usa o software citado.
Resumo em 10 segundos
- Beaver BuilderAtualize esta semana
- libheifAtualize esta semana
- Mailchimp for WooCommerceAtualize esta semana
- MetFormAtualize esta semana
- SaveTo Wishlist LiteAtualize esta semana
- User Private FilesAtualize esta semana
- VikAppointmentsAtualize esta semana
- WP Mail CatcherAtualize esta semana
- WP Ultimate ReviewAtualize esta semana
- Unlimited Elements For ElementorFique de olho
Não usa Beaver Builder, libheif, Mailchimp for WooCommerce, MetForm, SaveTo Wishlist Lite, User Private Files, VikAppointments, WP Mail Catcher, WP Ultimate Review nem Unlimited Elements For Elementor? Nada desta nota se aplica ao seu site.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Só se você usa estes plugins ou temas
Não está na sua lista? Pode pular.
Beaver Builder
construtor de páginas
Em páginas com widget de comentários, um visitante sem login consegue acionar shortcodes de outros plugins.
Você mesmo
- Atualize o Beaver Builder para a versão mais recente (acima da 2.11.0.5).
- Até lá, ative a moderação de comentários.
Seu dev ou hospedagem
- Remover widgets de comentários recentes dos módulos Sidebar.
- Revisar comentários recentes com colchetes de shortcode.
libheif
biblioteca de imagens HEIC do servidor
Afeta: servidores que processam imagens HEIC com ImageMagick.
Uma imagem HEIC manipulada, enviada por alguém com permissão de upload, pode executar código no servidor. Atualizar o WordPress não resolve.
Você mesmo
- Pergunte à hospedagem se a libheif do servidor já está na 1.23.3 ou superior.
- Revise quem tem papel de Autor ou superior.
Seu dev ou hospedagem
- Atualizar a libheif para 1.23.3+ pelos pacotes da distribuição e reiniciar o PHP-FPM.
- Se não precisa de HEIC/AVIF, bloquear esses tipos no upload (filtro upload_mimes).
- Desativar a execução de PHP em wp-content/uploads.
Mailchimp for WooCommerce
integração Mailchimp e WooCommerce
Um visitante sem login consegue alterar ou apagar o carrinho salvo de outro cliente. O impacto é limitado.
Você mesmo
- Atualize o Mailchimp for WooCommerce para a 6.3 ou superior.
- Depois, confira se as automações de carrinho abandonado continuam funcionando.
MetForm
formulários para Elementor
Afeta: quem usa a integração do MetForm com o HubSpot.
Com a integração do HubSpot ligada, o MetForm deixa um arquivo de depuração público com dados que facilitam outros ataques.
Você mesmo
- Atualize o MetForm para a 4.3.1 ou superior.
- Se usa a integração com HubSpot, gere um novo token no HubSpot.
Seu dev ou hospedagem
- Apagar arquivos de log ou depuração do plugin que sobraram na raiz do site.
SaveTo Wishlist Lite
lista de desejos no WooCommerce
Um visitante sem login consegue extrair dados do banco, como usuários e senhas criptografadas.
Você mesmo
- Atualize o SaveTo Wishlist Lite para a 1.1.5 ou superior; se não puder agora, desative.
Seu dev ou hospedagem
- Procurar nos logs parâmetros de ordenação com SELECT, UNION ou SLEEP.
- Manter as regras do WAF atualizadas.
User Private Files
arquivos privados por usuário
Afeta: sites em rede multisite com o plugin.
Em redes multisite, visitantes sem login conseguem baixar arquivos privados de outros usuários.
Você mesmo
- Atualize o User Private Files para a 2.2.0 ou superior.
- Teste se os arquivos privados dão erro quando acessados sem login.
Seu dev ou hospedagem
- Bloquear o acesso direto à pasta de uploads do plugin via .htaccess ou Nginx.
- Revisar logs para avaliar se documentos foram acessados.
VikAppointments
agendamentos
Afeta: quem publicou campo do tipo "Arquivo" na confirmação do agendamento.
Em uma configuração específica, um visitante sem login consegue apagar qualquer arquivo do servidor, inclusive o que mantém o site no ar.
Você mesmo
- Atualize o VikAppointments para a versão mais recente (acima da 1.2.21).
- Mantenha backups recentes fora do servidor.
Seu dev ou hospedagem
- Se não puder atualizar, despublicar campos personalizados do tipo "Arquivo" ou desativar o plugin.
- Conferir se o wp-config.php e os arquivos essenciais estão no lugar.
WP Mail Catcher
registro de e-mails
Um visitante sem login consegue gravar um código no registro de e-mails que roda quando o administrador abre esse registro.
Você mesmo
- Atualize o WP Mail Catcher para a versão mais recente (acima da 2.1.12).
- Ative CAPTCHA ou antispam nos formulários de contato.
Seu dev ou hospedagem
- Apagar entradas de erro de envio com HTML ou JavaScript suspeito antes de abri-las.
- Manter o WAF atualizado.
WP Ultimate Review
avaliações
Um usuário com conta simples (assinante) consegue acionar shortcodes de outros plugins pelas avaliações.
Você mesmo
- Atualize o WP Ultimate Review para a versão mais recente (acima da 2.4.3).
- Se o site tem cadastro aberto, avalie desativá-lo.
Seu dev ou hospedagem
- Revisar avaliações recentes (tipo xs_review) em busca de shortcodes inesperados.
Unlimited Elements For Elementor
widgets para Elementor
Um invasor sem login consegue extrair dados do banco, como usuários e senhas criptografadas. Ainda não havia correção.
Você mesmo
- Atualize assim que sair versão posterior à 2.0.20; se o plugin não for essencial, desative-o até lá.
Seu dev ou hospedagem
- Ativar regras de WAF contra SQL injection.
- Procurar nos logs requisições com SLEEP(), BENCHMARK() ou respostas muito lentas.