Threats

Plugin no WordPress coloca três milhões de sites em alerta

O plugin All in One SEO, para WordPress, tem uma vulnerabilidade crítica de aumento de privilégios que pode levar a backdoors que dão acesso administrativos

29/12/2021

Plugin no WordPress coloca três milhões de sites em alerta

Um plugin relativamente popular para WordPress, chamado All in One SEO, tem um conjunto de vulnerabilidades que, quando conjugadas, podem levar a uma cadeia de exploração e levar a um takeover do site. Este plugin é utilizado em mais de três milhões de sites, segundo o site do WordPress.

Os investigadores da Sucuri afirmam que um atacante com uma conta num site com o plugin instalado – como, por exemplo, um subscritor – podem tirar vantagem dos erros, sendo um deles um bug de aumento de privilégio um outro um problema de SQL injection.

Por predefinição, os sites WordPress permitem que qualquer utilizador possa criar uma conta nos sites. “Por definição, as novas contas são catalogadas como subscritores e não têm nenhum privilégio para além de escrever comentários”, indicam os investigadores. “No entanto, determinadas vulnerabilidades, como as que foram descobertas, permitem que estes subscritores tenham muitos mais privilégios do que o que é suposto”.

A Sucuri afirma que estes erros têm um grau de severidade de 9.9 e 7.7 (em 10) e afeta as versões 4.0.0 e 4.1.5.2 do All in One SEO. Os investigadores aconselham os utilizadores que usam este plugin “a atualizar para a versão mais recente assim que possível”, para além de “rever os utilizadores com privilégios de administração presentes no website”.


NOTÍCIAS RELACIONADAS

RECOMENDADO PELOS LEITORES

REVISTA DIGITAL

IT SECURITY Nº3 Dezembro 2021

IT SECURITY Nº3 Dezembro 2021

NEWSLETTER

Receba todas as novidades na sua caixa de correio!

O nosso website usa cookies para garantir uma melhor experiência de utilização.