Um investigador de segurança identificou uma falha grava no plugin Simple Social Buttons para o WordPress e que permite a um adversário tomar total controlo sobre o website.
O plugin permite aos proprietários dos websites ganhar novas funcionalidades relativas a recursos de partilha nas redes sociais.
Luka Šikić, programar e investigador da empresa WebARX, descobriu a falha na semana passada e comunicou o problema ao autor do plugin.
Num relatório publicado no dia 11 de fevereiro, o investigador descreveu a falha como “improper application design flow, chained with lack of permission check.”
O investigador diz que um adversário pode registar novas contas no website e explorar esta vulnerabilidade para efetuar alterações no core do website WordPress, fora do plugin. À partida, essas ações apenas seriam permitidas ao gestor/administrador do website.
Essas modificações podem permitir que um adversário implante backdoors nos websites ou crie contas com permissões de administração.
Num vídeo de demonstração, Šikić mostrou como a vulnerabilidade é crítica. O investigador demostrou como foi possível alterar o endereço de e-mail associado a uma conta de administrador do website WordPress.
Šikić notificou a empresa por trás do plugin na semana passsada, a WPBrigade, e disse que eles foram extremamente efetivos na resolução do problemas, pois publicaram um remendo no dia a seguir à submissão do seu relatório.
Todos os utilizadores com o plugin ativo no seu WordPress devem instalar a versão 2.0.22 lançada na passada sexta-feira, 8 de fevereiro.
O plugin foi instalado em mais de 40.000 website, de acordo com as estatísticas do repositório oficial de Plugins do WordPress.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.