![falha-xss-no-plugin-litespeed-cache-para-wordpress-coloca-sites-em-risco falha-xss-no-plugin-litespeed-cache-para-wordpress-coloca-sites-em-risco](https://sempreupdate.com.br/wp-content/plugins/seox-image-magick/imagick_convert.php?width=904&height=508&format=.jpg&quality=91&imagick=/wp-content/uploads/2023/10/vulnerabilidade-critica-no-plugin-wordpress-royal-elementor-e-explorada-ativamente-2-1024x576.jpg)
Uma vulnerabilidade de altíssima gravidade, que afeta complementos e modelos do Royal Elementor até a versão 1.3.78, foi explorada ativamente por duas equipes de segurança do WordPress. Como a exploração foi observada antes do fornecedor lançar um patch, a falha foi aproveitada pelos hackers como um zero dia.
Vulnerabilidade no plugin WordPress Royal Elementor
Royal Elementor Addons and Templates da ‘WP Royal’ é um kit de construção de sites que permite a criação rápida de elementos da web sem conhecimento de codificação. De acordo com WordPress.org, possui mais de 200.000 instalações ativas. A falha que afeta o complemento é rastreada como CVE-2023-5360 (CVSS v3.1: 9,8 “crítico”), permitindo que invasores não autenticados realizem uploads arbitrários de arquivos em sites vulneráveis.
Embora o plug-in apresente uma validação de extensão para limitar uploads apenas a tipos de arquivos específicos e permitidos, usuários não autenticados podem manipular a lista permitida para ignorar a higienização e as verificações. Assim, os invasores podem potencialmente conseguir a execução remota de código por meio desta etapa de upload de arquivo, levando ao comprometimento completo do site. Detalhes técnicos adicionais sobre a falha foram retidos para evitar a exploração generalizada.
Explorado para criar contas de administrador desonestas
Duas empresas de segurança WordPress, Wordfence e WPScan (Automattic), marcaram o CVE-2023-5360 como explorado ativamente desde 30 de agosto de 2023, com o volume de ataque aumentando a partir de 3 de outubro de 2023. O Wordfence relata ter bloqueado mais de 46.000 ataques direcionados ao Royal Elementor no mês passado, enquanto o WPScan registrou 889 casos de invasores que abandonaram dez cargas distintas após aproveitar a falha.
A maioria das cargas usadas nesses ataques são scripts PHP que tentam criar um usuário administrador do WordPress chamado ‘wordpress_administrator’ ou agir como um backdoor. O WordPress afirma que a maioria dos ataques se origina de apenas dois endereços IP, portanto, a exploração pode ser conhecida apenas por alguns agentes de ameaças.
O fornecedor do complemento foi contatado com todos os detalhes em 3 de outubro e lançou Royal Elementor Addons and Templates versão 1.3.79 em 6 de outubro de 2023, para corrigir a falha. Recomenda-se que todos os usuários do complemento atualizem para essa versão o mais rápido possível.
Se você não tiver acesso a nenhuma solução comercial de digitalização, poderá usar este scanner gratuito para determinar a suscetibilidade do seu site a ataques. Esteja ciente de que atualizar o complemento para a versão 1.3.79 não removerá automaticamente infecções nem excluirá arquivos maliciosos, portanto, uma limpeza do site será necessária nesses casos.