Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Resumo: O plugin Nelio Content (calendário editorial e publicação automática em redes sociais), até a versão 4.5.0, não verifica corretamente a autorização na API REST de mensagens reutilizáveis. Qualquer usuário com papel de colaborador ou superior pode excluir permanentemente mensagens…
Resumo: O plugin JSON API Auth (até a versão 3.1.2) tem uma falha de bypass de autenticação com CVSS 9.8. Como o plugin pai JSON API guarda em cache as respostas apenas pela URL, a resposta do endpoint generate_auth_cookie, que…
Resumo: O plugin Newsletter – Send awesome emails from WordPress, até a versão 9.4.0, permite que visitantes sem login injetem scripts pelo parâmetro de campo personalizado “np1” do formulário de inscrição (CVSS 7.2). O endpoint de inscrição não exige nonce,…
Resumo: O resumo mensal da Sucuri reúne as correções de segurança de setembro em plugins muito usados. Entre as mais graves estão: execução arbitrária de shortcodes sem login no WPForms (CVE-2026-84744, 5 milhões+ de sites), dois bypasses da autenticação em…
Resumo: O CMB2, biblioteca de metaboxes e campos personalizados muito usada por temas e plugins, tem uma falha de XSS armazenado no tipo de campo “file_list” até a versão 2.13.0 (CVSS 7.2). A exploração só é possível quando um tema…
Resumo: O SiteOrigin Widgets Bundle, até a versão 1.73.2, tem uma falha de Local File Inclusion (CVSS 7,5) no endpoint REST Por meio do parâmetro “theme”, um usuário com nível de colaborador ou superior pode incluir e executar arquivos…
Resumo: Pesquisadores da Sucuri analisaram a família de malware “SC”, que cria pelo menos oito pontos de persistência interligados — diretiva auto_prepend_file no .user.ini, loaders PHP ocultos, os drop-ins wp-content e advanced-cache.php, bloco injetado no functions.php do tema, must-use plugin…
Resumo: Foram divulgadas várias falhas no OWASP ModSecurity, o WAF de código aberto usado por muitas hospedagens (inclusive em cPanel/Plesk) na frente de sites WordPress. A mais grave (GHSA-5pww-8rfg-9crf, alta) explora o parâmetro filename* (RFC 2231) em uploads multipart para…
Resumo: O Patchstack divulgou uma falha de ausência de autorização no plugin WPMobile.App (wpappninja), usado para transformar sites WordPress em aplicativos móveis. Versões até a 11.83 permitem que um atacante sem autenticação obtenha dados sensíveis embutidos no plugin (CVSS 4.0:…
Resumo: O plugin Testimonials Widget, até a versão 4.0.4, não verifica permissão nem propriedade ao processar o formulário público de envio de depoimentos. Com isso, qualquer visitante, sem login, pode criar posts ou sobrescrever título, conteúdo e autor de qualquer…
Duas atualizações de segurança no núcleo, a 7.1.2 já sob ataque ativo, falhas críticas no Gravity Forms e no The Events Calendar e um malware escondido em mu-plugins. WP BLOG BR Edição #06 Segurança & Infra WordPress As “melhores”…
Resumo: A Wordfence documentou um malware instalado em `wp-content/mu-plugins` que se oculta das telas de plugins, atualizações e Saúde do Site, cria ou sequestra contas de administrador (padrões `admin_`, `adm_`, `administrator_`, `backup_` + 6 caracteres), captura senhas no login e…