Os pesquisadores revelaram vulnerabilidades em vários plug-ins do WordPress que, se explorados com êxito, podem permitir que um invasor execute código arbitrário e assuma o controle de um site em determinados cenários.


As falhas foram descobertas no Elementor , um plugin construtor de sites usado em mais de sete milhões de sites, e no WP Super Cache , uma ferramenta usada para servir páginas em cache de um site WordPress.


De acordo com o Wordfence, que descobriu os pontos fracos de segurança no Elementor, o bug diz respeito a um conjunto de vulnerabilidades de cross-site scripting (XSS) (pontuação CVSS: 6.4), que ocorre quando um script malicioso é injetado diretamente em um aplicativo da web vulnerável.

Nesse caso, devido à falta de validação das tags HTML no lado do servidor, um malfeitor pode explorar os problemas para adicionar JavaScript executável a uma postagem ou página por meio de uma solicitação criada.


"Como as postagens criadas por colaboradores são normalmente revisadas por editores ou administradores antes da publicação, qualquer JavaScript adicionado a uma dessas postagens seria executado no navegador do revisor", disse Wordfence em um artigo técnico. "Se um administrador revisou uma postagem contendo JavaScript malicioso, sua sessão autenticada com privilégios de alto nível poderia ser usada para criar um novo administrador malicioso ou para adicionar um backdoor ao site. Um ataque a esta vulnerabilidade pode levar ao controle do site."


Vários elementos HTML, como Heading, Column, Accordion, Icon Box e Image Box foram considerados vulneráveis ​​ao ataque XSS armazenado, tornando possível para qualquer usuário acessar o editor Elementor e adicionar um JavaScript executável.


Dado que as falhas tiram proveito do fato de que os dados dinâmicos inseridos em um modelo podem ser aproveitados para incluir scripts maliciosos destinados a lançar ataques XSS, tal comportamento pode ser frustrado validando a entrada e escapando dos dados de saída para que as tags HTML passadas como entradas são tornadas inofensivas.

Separadamente, uma vulnerabilidade de execução remota de código autenticado (RCE) foi descoberta no WP Super Cache que pode permitir que um adversário carregue e execute código malicioso com o objetivo de obter o controle do site. O plugin é usado em mais de dois milhões de sites WordPress.


Após a divulgação responsável em 23 de fevereiro, a Elementor corrigiu os problemas da versão 3.1.4 lançada em 8 de março, tornando mais rígidas as "opções permitidas no editor para impor melhores políticas de segurança". Da mesma forma, Automattic, o desenvolvedor por trás do WP Super Cache, disse que abordou o "RCE autenticado na página de configurações" na versão 1.7.2.


É altamente recomendável que os usuários dos plug-ins atualizem para as versões mais recentes para reduzir o risco associado às falhas.


Achou este artigo interessante? Siga-nos no Facebook, Twitter e Instagram para ler mais conteúdo exclusivo que postamos.