Uma falha crítica nos plugins Malware Scanner e Web Application Firewall do WordPress miniOrange pode permitir o controle do site. No primeiro dia do mês de março, a empresa de segurança WordPress Wordfence recebeu um pedido para uma vulnerabilidade de escalonamento de privilégios no Malware Scanner do miniOrange como parte da iniciativa Bug Bounty Extravaganza da empresa.
Falha crítica nos plugins miniOrange do WordPress
O plugin Malware Scanner do miniOrange do WordPress tem mais de 10.000 instalações ativas. Os pesquisadores da equipe Wordfence Threat Intelligence também identificaram a mesma vulnerabilidade no plugin Web Application Firewall do miniOrange, que possui mais de 300 instalações ativas.
Um invasor não autenticado pode explorar essa vulnerabilidade para obter privilégios administrativos atualizando a senha do usuário. A pesquisa incentiva os administradores do WordPress a remover os plugins afetados.
Ambos os plug-ins Malware Scanner e Web Application Firewall do miniOrange contêm uma vulnerabilidade crítica de escalonamento de privilégios e ambos foram permanentemente fechados. Portanto, pedimos a todos os usuários que excluam esses plug-ins de seus sites imediatamente!
Esta vulnerabilidade permite que um invasor não autenticado conceda privilégios administrativos atualizando a senha do usuário.
Depois que um invasor obtém acesso de usuário administrativo a um site WordPress, ele pode manipular qualquer coisa no site alvo como um administrador normal faria.
Wordfence
A vulnerabilidade, rastreada como CVE-2024-2172 (pontuação CVSS 9.8) afeta as seguintes versões dos plug-ins: Verificador de malware (versões <= 4.7.2); Firewall de aplicativo da Web (versões <= 2.1.1). Os mantenedores fecharam ambos os plugins desde 7 de março de 2024.
A vulnerabilidade
A vulnerabilidade de escalonamento de privilégios é causada por uma verificação de capacidade ausente na função mo_wpns_init() nos plugins vulneráveis. O problema pode levar ao comprometimento total do site, uma vez que um invasor obtém acesso de usuário administrativo a um site WordPress, ele pode manipulá-lo como qualquer administrador normal.
Com a vulnerabilidade, um invasor pode fazer upload de arquivos de plugins e temas, que podem conter backdoors maliciosos, e modificar postagens e páginas para redirecionar usuários a sites maliciosos ou injetar conteúdo de spam.
Os pesquisadores que relataram esse problema, Stiofan, ganharam uma recompensa de US$ 1.250,00 (cerca de R$ 753,00 mil)no programa Wordfence Bug Bounty.
Os plug-ins foram permanentemente fechados e não há patches disponíveis ou futuros para eles. Encorajamos os usuários do WordPress a excluir esses plug-ins de seus sites.
Então o melhor, nesse momento, é executar a exclusão dos plugins do seus site, para evitar problemas maiores.
