Blog

Milhões de sites atingidos por vulnerabilidades do WordPress – Jan/2022

Milhoes-de-sites-atingidos-por-vulnerabilidades-do-WordPress
Solução de Problemas

Milhões de sites atingidos por vulnerabilidades do WordPress – Jan/2022

Calma! O WordPress é seguro! Mas vulnerabilidade do WordPress fazem parte do jogo, assim como em qualquer outro CMS.

Você deve estar preparado e deve ficar sempre atento sobre essas vulnerabilidades do WordPress, especialmente as que geram um alto nível de ameaça.

Nesse post vou falar rapidamente sobre esse tema que foi noticiado em grandes portais de conteúdo tecnológico como o Search Engine Jornal e outros.

O WordPress anunciou vulnerabilidades perigosas, incluindo duas falhas do que chamamos de SQL Injection que foram introduzidas pela própria equipe de desenvolvimento.

O WordPress anunciou ter corrigido 4 vulnerabilidades classificadas como de alto nível de ameaça, nota 8 numa escala de 1 a 10.

Essas vulnerabilidades estariam no core do WordPress e foram introduzidas pela própria equipe de desenvolvimento – pasme!

4 Vulnerabilidade do WordPress

Vulnerabilidade do WordPress

O anúncio do WordPress não detalhava muito sobre a gravidade das vulnerabilidade e não entrava em tantos detalhes.

Contudo, o Banco de Dados Nacional de Vulnerabilidades do Governo dos Estados Unidos, apontou uma nota 8 para essas vulnerabilidades.

Esse banco de dados onde as vulnerabilidade são registradas e publicas tem uma escala de 1 a 10, onde 10 representa o perigo mais alto.

As quatro vulnerabilidades apontadas foram:

  1. SQL injection devido à falta de sanitização de dados em WP_Meta_Query (Nota 7.4)
  2. Authenticated Object Injection em Multisites (6.6)
  3. Stored Cross Site Scripting (XSS) por meio de usuários autenticados (8.0)
  4. SQL injection por meio de WP_Query devido à higienização inadequada (8.0)

3/4 das vulnerabilidades foram descobertas por pesquisadores de segurança fora do WordPress – que não tinham ideia até serem notificado.

Essas vulnerabilidades foram reportadas de forma privada ao WordPress que pôde trabalhar para corrigi-las antes que fossem propagadas.

Desenvolvimento Perigoso do WordPress?

Eles não conseguiram terminar a versão 5.9 o que fez com que o desenvolvimento fosse desacelerado em 2021 e adiado para 2022.

Os próprios desenvolvedores do WordPress falaram sobre o ritmo do desenvolvimento e pediram um pouco mais de tempo.

No entanto, um dos desenvolvedores publicou:

No geral, parece que agora estamos apressando as coisas de uma forma perigosa.

Talvez, seja preciso questionar o ritmo de desenvolvimento do WordPress e se mais esforços devem ser feitos para evitar vulnerabilidades.

Sanitização de Dados no WordPress

Citei acima problemas de SQL Injection como vulnerabilidade do WordPress na sanitização de dados.

Essa sanitização de dados é uma forma de controlar o tipo de informação que vai para o banco de dados.

O banco de dados contém muitas informações, como dados do site, senhas, nomes de usuários, conteúdos e outras coisas para o funcionamento do site WordPress.

A documentação oficial descreve da seguinte forma:

Sanitização é o processo de limpar ou filtrar seus dados de entrada. Quer os dados sejam de um usuário ou de uma API ou serviço da web, você usa a sanitização (ou higienização) quando não sabe o que esperar ou não quer ser rígido com a validação de dados

Handbook

Desse modo, o WordPress inclui funções auxiliares para proteger o banco de dados contra entradas maliciosas.

Assim, de acordo com a documentação do WordPress, essas vulnerabilidades são antecipadas e tratadas, o que intriga seu aparecimento no Core.

Conclusão

WordPress recomenda a atualização IMEDIATA!

Como as vulnerabilidades estão expostas, é de extrema importância que usuários do WordPress se certifiquem que o core esteja atualizado.

A versão atual para correção dessas vulnerabilidades, hoje, quando escrevo esse conteúdo, é a 5.8.3.

Aqui estão alguns links para você saber mais a respeito:

Deixe seu comentário aqui...

O seu endereço de e-mail não será publicado.

Esse site utiliza o Akismet para reduzir spam. Aprenda como seus dados de comentários são processados.

Nosso site usa cookies e, portanto, coleta informações sobre sua visita para melhorar nosso site (por meio de análise), mostrar a você conteúdo de mídia social e anúncios relevantes. Por favor, consulte nossa página Termos & Políticas para mais detalhes ou concorde clicando no botão 'Aceitar'. OBS: Ao continuar a navegação, você, automaticamente, concorda.

Configurações de Cookies

Abaixo, você pode escolher os tipos de cookies que quer permitir neste site. Clique no botão "Salvar Configurações de Cookies" para aplicar sua escolha.

FuncionalNosso site usa cookies funcionais. Esses cookies são necessários para permitir que nosso site funcione.

AnalíticoNosso site usa cookies analíticos para permitir a análise de nosso site e a otimização para o propósito de a.o. a usabilidade.

Mídia SocialNosso site coloca cookies de mídia social para mostrar conteúdo de terceiros, como YouTube e Facebook. Esses cookies podem rastrear seus dados pessoais.

PublicidadeNosso site coloca cookies de publicidade para mostrar anúncios de terceiros com base em seus interesses. Esses cookies podem rastrear seus dados pessoais.

OutrosNosso site coloca cookies de terceiros de outros serviços que não são analíticos, mídia social ou publicidade.