Mensagens anteriores

Foi recentemente descoberta uma nova falha num plugin para sites WordPress que pode afetar milhares de utilizadores que possuem o mesmo instalado nos seus projetos. Recentemente foi descoberta uma falha sobre o plugin “Ultimate Member”, que pode permitir ataques para explorar vulnerabilidades no sistema.

Este plugin é usado atualmente – segundo os dados do repertorio de addons do WordPress – por mais de 100.000 websites na Internet, e permite aos administradores gerirem mais rapidamente os perfis dos utilizadores registados, criando pequenas comunidades.

No entanto, a equipa de segurança da Wordfence revelou a descoberta de três falhas que, se exploradas, podem permitir aos atacantes terem controlo total sobre o site com permissões administrativas. As falhas foram reveladas à equipa responsável pelo plugin no dia 26 de Outubro, sendo que todas foram corrigidas na versão 2.1.12 do plugin lançada a 29 de Outubro.

Uma das falhas encontrava-se marcada como “critica”, tendo em conta que permitia o total acesso como administrador ao sistema, possibilitando realizar qualquer tarefa dentro do site. Até ao momento ainda se desconhece se esta falha era conhecida por atacantes e estaria a ser explorada ativamente pela Internet.

A nova versão do plugin foi instalada já em cerca de 75.000 websites, o que deixa ainda uma elevada percentagem de sistemas sem a proteção adequada com a versão mais recente, e que podem ser comprometidas. Tendo em conta que as falhas foram agora reveladas publicamente, estas podem também começar a ser exploradas ativamente pela Internet – pelo que a recomendação será manter as atualizações instaladas o quanto antes.