150 mil sites WordPress podem estar vulneráveis devido a falha em plugin

Os utilizadores de sites WordPress devem ficar atentos a uma nova vulnerabilidade, existente no plugin POST SMTP Mailer. Este encontra-se instalado em mais de 300.000 websites, que podem agora encontrar-se vulneráveis a ataques caso não tenham realizado a atualização.

Os investigadores Ulysses Saicha e Sean Murphy, da empresa Wordfence, confirmaram a descoberta de duas novas vulnerabilidades sobre o plugin. Se exploradas, estas podem permitir aos atacantes realizar várias tarefas administrativas no site, incluindo aceder a informação potencialmente sensível.

A primeira falha foi classificada como critica, e permite usar o acesso REST do plugin para obter acesso a dados sensíveis de utilizadores do site, incluindo dados sobre o reset das senhas, que pode permitir acessos indevidos ao site. A falha encontra-se presente em todas as versões do plugin até à 2.8.7.

Com acesso administrativo, o atacante pode realizar praticamente qualquer ação sobre o site, incluindo modificar conteúdos e aplicar outros scripts e plugins maliciosos na instalação, que podem comprometer a segurança de utilizadores e de visitantes do site.

A segunda vulnerabilidade identificada será de cross-site scripting (XSS), e ocorre devido a uma falha no código existente no plugin.

A Wordfence afirma ter contactado os criadores do plugin a 8 de Dezembro de 2023, seguindo-se uma prova de conceito da exploração das falhas a 15 de dezembro.

Os criadores do plugin lançaram a correção para esta falha com a versão 2.8.8, lançada no dia 1 de Janeiro de 2024.

Tendo em conta as estatísticas do portal do WordPress, ainda existem cerca de 150.000 sites potencialmente vulneráveis a ataques, com versões antigas do plugin que ainda não foram atualizados. Aos administradores que tenham este plugin, recomenda-se a sua atualização imediata.