Uma falha de segurança crítica descoberta no popular plugin Smart Slider 3 para WordPress está a colocar em risco centenas de milhares de websites. O problema permite que utilizadores com privilégios mínimos, como simples subscritores, acedam a ficheiros sensíveis dos servidores, abrindo portas para o controlo total das plataformas e o roubo de dados, segundo a informação detalhada pela Wordfence e documentada no diretório oficial do WordPress.
Como a vulnerabilidade atua no sistema
O Smart Slider 3 é amplamente utilizado por administradores para criar galerias e carrosséis de imagens de forma intuitiva. A vulnerabilidade, identificada como CVE-2026-3098, afeta todas as versões até à 3.5.1.33 e obteve uma classificação de gravidade média pelo facto de exigir autenticação prévia. O problema reside na ausência de verificações de permissões e de tipos de ficheiro nas funções de exportação da ferramenta.
Esta brecha permite que qualquer indivíduo com uma conta básica no site execute ações que deveriam estar estritamente reservadas aos administradores. Através deste método, os atacantes conseguem ler ficheiros arbitrários do servidor, incluindo o documento wp-config.php. Este ficheiro é vital para a plataforma, pois contém as credenciais de acesso à base de dados e as chaves de segurança criptográficas que protegem a instalação.
Atualização é urgente para meio milhão de páginas
O investigador Dmitrii Ignatyev descobriu e reportou o problema em fevereiro. A equipa da Nextendweb, responsável pelo desenvolvimento do plugin, reconheceu a situação no início de março e disponibilizou a versão 3.5.1.34 no dia 24 para corrigir o erro.
Apesar de a correção já estar disponível, as estatísticas de utilização indicam que pelo menos 500 mil websites continuam a executar versões desatualizadas da extensão. Embora a falha ainda não esteja a ser explorada ativamente, a natureza da mesma exige que os administradores atualizem os seus sistemas o mais rapidamente possível para garantir a integridade das suas páginas.
Nenhum comentário
Seja o primeiro!