Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Qualquer visitante pode ver formulários de doação que ainda não foram publicados, e usuários com acesso parcial ao GiveWP conseguem mexer em páginas e dados de doadores que não deveriam. A atualização resolve tudo.
Quem já tem uma conta de autor ou colaborador no site consegue criar contas com mais poderes, como editor, ou gravar um código que roda no navegador de quem abre a página. Só preocupa sites que dão contas a pessoas…
Um invasor pode enviar um link que, se for clicado por alguém logado no site (como um administrador), roda um código no navegador dessa pessoa e pode agir em nome dela. Em redes multisite, administradores de um subsite também conseguiam…
Um visitante consegue zerar o valor da reserva e agendar serviços sem pagar.
Um visitante sem login consegue deixar gravado um código que roda no navegador de quem abre a versão traduzida da página. Se for um administrador logado, o invasor pode roubar a sessão.
Um visitante sem conta consegue gravar um código no pedido que roda quando o administrador abre esse pedido no painel, o que pode levar à tomada do site.
Qualquer usuário logado, até um simples assinante, consegue ler os e-mails de reservas com nome, e-mail e telefone dos clientes. É vazamento de dados pessoais (LGPD).
Qualquer pessoa sem conta consegue plantar um código num pedido que roda quando um administrador abre esse pedido, o que pode levar ao sequestro da sessão.
Resumo: A Infoblox ligou o sistema de distribuição de tráfego Help TDS, ativo desde 2017, ao programa de afiliados russo Hotejka (sucessor do ROI777). Afiliados como Balada Injector, Detour Dog e DollyWay instalam templates PHP, plugins falsos (como o “woocommerce_inputs”)…
Um visitante sem login consegue esconder um código em comentários que roda quando alguém abre a página. Campanhas recentes usam esse tipo de falha para criar administradores ocultos.
Um visitante sem login consegue acionar shortcodes de outros plugins do site, o que pode vazar informações ou alterar conteúdo.
Um visitante sem login consegue publicar páginas que ainda eram rascunho e sobrescrever o conteúdo delas.