5 itens neste dia. Um vale para todos os sites; os outros quatro só importam se você usa o software citado.
Resumo em 10 segundos
- WordPress — todos os sitesAtualize esta semana
- Ninja Forms, WPC Product Bundles for WooCommerceAtue hoje
- Simple MembershipAtualize esta semana
- UsersWPAtualize esta semana
- WPCafeFique de olho
Não usa Ninja Forms, WPC Product Bundles for WooCommerce, Simple Membership, UsersWP nem WPCafe? Confira só o item para todos os sites e pronto: seu site não precisa de mais nada desta nota.
Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.
Para todos os sites
WordPress 7.1.3 corrige sete falhas de segurança, incluindo XSS armazenado e SQL injection na exportação <span class="bcn-relev-wrap"><span class="wpbr-selos-card"><span class="wpbr-selo wpbr-selo--media"><span class="wpbr-selo__ponto" aria-hidden="true"></span>Atualize esta semana</span><span class="wpbr-etiqueta wpbr-etiqueta--todos">Todos os sites</span></span></span>
Afeta: todos os sites WordPress.
A versão 7.1.3 corrige sete falhas no próprio WordPress, entre elas uma que permite atacar pelo campo de comentários.
Você mesmo
- Atualize para o WordPress 7.1.3 em Painel › Atualizações.
- Se as atualizações automáticas estão desligadas, aplique hoje.
Seu dev ou hospedagem
- Confirmar a versão com wp core version.
- Revisar comentários pendentes antes de abri-los no painel.
- Manter o WAF ativo até concluir a atualização.
Só se você usa estes plugins
Não está na sua lista? Pode pular.
Ninja Forms, WPC Product Bundles for WooCommerce
Criminosos estão usando falhas nesses dois plugins para esconder um código em pedidos e formulários. Quando o administrador abre o conteúdo, o site ganha administradores ocultos.
Você mesmo
- Atualize o Ninja Forms para a 3.15.4 e o WPC Product Bundles para a 8.6.7 ou superior.
- Atualizar não limpa uma invasão: se usava versão afetada, peça a um profissional para checar o site.
Seu dev ou hospedagem
- Procurar o falso plugin "WP Smart Thumbnails" (MediaPress Labs) em plugins e mu-plugins.
- Listar administradores direto no banco (wp_users e wp_usermeta) para achar contas ocultas.
- Bloquear imgcdn1[.]com, trocar senhas e salts e rodar varredura.
Simple Membership
área de membros
Um visitante sem login consegue desviar para si o e-mail de ativação de membros, que traz usuário e senha.
Você mesmo
- Atualize o Simple Membership para a versão mais recente (acima da 4.8.3).
- Revise contas ativadas recentemente e redefina a senha das suspeitas.
Seu dev ou hospedagem
- Desativar o envio de senha em texto puro no e-mail de boas-vindas.
UsersWP
login, cadastro e perfis
Falha de permissão em plugin de cadastro e perfis. O impacto é médio e não há ataques conhecidos.
Você mesmo
- Atualize o UsersWP para a 1.2.76 ou superior.
- Confira em Usuários se há contas novas ou com papéis alterados sem explicação.
Seu dev ou hospedagem
- Rodar varredura com o plugin de segurança.
WPCafe
cardápio e pedidos para restaurantes
Um usuário com conta de colaborador pode executar arquivos PHP do servidor. Ainda não havia correção na publicação.
Você mesmo
- Atualize o WPCafe assim que sair versão posterior à 3.0.18.
- Até lá, revise quem tem papel de Colaborador ou superior e remova contas desnecessárias.
Seu dev ou hospedagem
- Procurar .php inesperados em wp-content/uploads.
- Bloquear a execução de PHP em uploads via .htaccess ou Nginx.