Uma grave vulnerabilidade de injeção SQL foi descoberta no Ally, um popular plugin de acessibilidade e usabilidade para o WordPress desenvolvido pela Elementor, que conta atualmente com mais de 400 mil instalações ativas. De acordo com os detalhes partilhados pela Wordfence, esta falha permite que atacantes não autenticados consigam extrair dados sensíveis de forma remota.
O problema de segurança, classificado com uma pontuação de gravidade alta e registado como CVE-2026-2313, foi inicialmente descoberto por Drew Webber, engenheiro de segurança ofensiva na empresa Acquia, cujo perfil e detalhes adicionais podem ser consultados no repositório oficial.
Como funciona a falha de segurança no Ally
Embora as falhas de injeção SQL sejam conhecidas há mais de 25 anos e relativamente fáceis de prevenir na programação moderna, continuam a representar uma ameaça constante na internet. Neste caso específico, a vulnerabilidade afeta todas as versões do Ally até à 4.0.3 e ocorre devido ao tratamento inadequado de parâmetros introduzidos no endereço URL pelo utilizador.
Os investigadores da área explicam que o problema reside no método de código responsável pelas reparações globais, onde a informação inserida é adicionada diretamente a uma instrução da base de dados sem a devida sanitização. Apesar do sistema tentar verificar o link por questões de segurança, essa medida não é suficiente para impedir a inserção de caracteres especiais, como aspas simples ou parênteses. Esta falha abre a porta para que piratas informáticos juntem as suas próprias consultas e consigam recolher informações silenciosamente.
É importante notar que a exploração desta vulnerabilidade tem alguns requisitos específicos. Os cibercriminosos apenas conseguem ter sucesso se o plugin estiver ativamente ligado a uma conta Elementor e se o módulo de remediação estiver ativado no sistema do site.
Atualização urgente recomendada para todos os administradores
A empresa de segurança validou o problema e alertou a Elementor no dia 13 de fevereiro. Cerca de dez dias depois, a 23 de fevereiro, os programadores lançaram a versão mais recente, a 4.1.0, que corrige definitivamente a falha. Pela descoberta, o investigador foi recompensado com um prémio de 800 dólares (cerca de 730 euros).
Apesar de a correção já estar disponível, as estatísticas mais recentes revelam que apenas cerca de 36% dos sites que utilizam o plugin Ally efetuaram a atualização. Isto significa que existem mais de 250 mil portais a correr um risco desnecessário e abertos a possíveis ataques.
Para além da urgência na atualização do Ally para a versão 4.1.0, é vivamente recomendado que todos os administradores instalem a versão mais recente do próprio sistema base. A atualização 6.9.2, disponibilizada recentemente, resolve 10 vulnerabilidades distintas, incluindo falhas de autorização e problemas que permitiam pedidos falsificados. A equipa sublinha que a instalação desta nova versão deve ser feita de forma imediata.
Nenhum comentário
Seja o primeiro!