WordPress implanta atualização de segurança em plugin popular

A equipe de segurança do WordPress implantou uma atualização de segurança para um plugin popular. Sites executando o plugin Loginizer foram atualizados à força esta semana para a versão 1.6.4 do Loginizer.

Esta versão continha uma correção de segurança para um bug perigoso de injeção de SQL que poderia ter permitido que hackers assumissem o controle de sites WordPress. O Loginizer é um dos plugins mais populares do WordPress atualmente, com uma base de instalação de mais de um milhão de sites.

WordPress implanta atualização de segurança em plugin popular

O plugin Loginizer fornece melhorias de segurança para a página de login do WordPress. De acordo com sua descrição oficial, o Loginizer pode colocar na lista negra ou branca o endereço IP de acessar a página de login do WordPress; pode adicionar suporte para autenticação de dois fatores ou pode adicionar CAPTCHAs simples para bloquear tentativas de login automatizado, entre outros recursos.

O pesquisador de segurança Slavco Mihajloski divulgou uma vulnerabilidade grave no plugin Loginizer no mecanismo de proteção de força bruta (habilitado por padrão para todos os sites onde o Loginizer está instalado).

Para explorar esse bug, um invasor pode tentar fazer login em um site WordPress usando um nome de usuário WordPress malformado no qual eles podem incluir instruções SQL. Quando a autenticação falhar, o plugin Loginizer registrará essa tentativa falha no banco de dados do site WordPress, junto com o nome de usuário com falha.

Mas, o plugin não limpa o nome de usuário e deixa as instruções SQL intactas; permitindo que atacantes remotos executem código no banco de dados WordPress.

O bug é um dos piores problemas de segurança descobertos nos plugins do WordPress nos últimos anos; por isso, a equipe de segurança do WordPress decidiu forçar o envio do patch Loginizer 1.6.4 para todos os sites afetados.

Fonte: ZDNET