Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Um visitante sem login pode extrair dados do banco do site, como contas e e-mails de usuários, e até alterar ou apagar informações. A atualização resolve.
Quem tem uma conta no site pode gravar um código que roda no navegador de quem abre a página do evento ou mexer em dados de eventos que não deveria, e um visitante sem login consegue ver algumas informações pouco…
Se alguém logado no site abrir um link malicioso, o invasor pode conseguir ver páginas e posts que o plugin deveria manter restritos. Vale atualizar o plugin.
Uma pessoa sem login pode ver dados que deveriam ser privados nas campanhas de financiamento coletivo do site, possivelmente de apoiadores. Ainda não existe versão corrigida.
Qualquer visitante, sem login, pode ler o conteúdo de páginas que ainda estão em rascunho ou não foram publicadas no site. Isso pode expor textos, preços ou anúncios antes da hora.
Quem tem conta de Autor pode enviar uma imagem SVG que roda código no navegador de quem a abre no Safari, inclusive de administradores.
Qualquer visitante consegue ver a chave secreta do reCAPTCHA do site, o que permite usar a sua conta do reCAPTCHA de forma indevida.
Quem tem conta de autor no site pode, ao trocar uma imagem, mudar o conteúdo de posts de outras pessoas, inclusive de administradores. Só importa em sites com vários autores.
Em lojas que usam o plugin há algum tempo, um invasor pode adivinhar o link de verificação de e-mail e entrar na conta de um cliente, vendo pedidos e dados pessoais.
Um visitante pode deixar no chatbot um código escondido que roda no navegador do administrador quando ele abre o histórico de conversas. Com isso, o invasor pode agir como o administrador e até tomar o site.
Se a lista de tipos de arquivo aceitos estiver vazia nas configurações, qualquer visitante pode enviar pelo checkout um arquivo com código e, dependendo do servidor, executar esse código e tomar o site.
Alguém pode fingir ser o Stripe e fazer a loja registrar como pago um pedido que nunca foi pago. Atualizar o plugin e configurar o segredo do webhook resolve.