Um investigador de segurança identificou uma falha grava no plugin Simple Social Buttons para o WordPress e que permite a um adversário tomar total controlo sobre o website.
O plugin permite aos proprietários dos websites ganhar novas funcionalidades relativas a recursos de partilha nas redes sociais.
Luka Šikić, programar e investigador da empresa WebARX, descobriu a falha na semana passada e comunicou o problema ao autor do plugin.
Num relatório publicado no dia 11 de fevereiro, o investigador descreveu a falha como “improper application design flow, chained with lack of permission check.”
O investigador diz que um adversário pode registar novas contas no website e explorar esta vulnerabilidade para efetuar alterações no core do website WordPress, fora do plugin. À partida, essas ações apenas seriam permitidas ao gestor/administrador do website.
Essas modificações podem permitir que um adversário implante backdoors nos websites ou crie contas com permissões de administração.
Num vídeo de demonstração, Šikić mostrou como a vulnerabilidade é crítica. O investigador demostrou como foi possível alterar o endereço de e-mail associado a uma conta de administrador do website WordPress.
Šikić notificou a empresa por trás do plugin na semana passsada, a WPBrigade, e disse que eles foram extremamente efetivos na resolução do problemas, pois publicaram um remendo no dia a seguir à submissão do seu relatório.
Todos os utilizadores com o plugin ativo no seu WordPress devem instalar a versão 2.0.22 lançada na passada sexta-feira, 8 de fevereiro.
O plugin foi instalado em mais de 40.000 website, de acordo com as estatísticas do repositório oficial de Plugins do WordPress.