Início » Plugin WordPress GDPR Cookie Consent corrigiu uma falha crítica
O plugin WordPress GDPR Cookie Consent corrigiu uma falha crítica que permitia que invasores em potencial excluíssem e alterassem conteúdo. Confira os detalhes dessa ameaça.
O plug-in GDPR Cookie Consent foi desenvolvido para permitir que os administradores do site exibam banners personalizáveis ​​de cabeçalho ou rodapé para mostrar a conformidade com a lei de cookies da UE (GDPR) do site.
Esse plug-in, mantido pelo WebToffee, também está entre os 100 mais populares no repositório de plug-ins do WordPress e é usado por mais de 700.000 sites, de acordo com as instalações ativas que contam com a entrada da biblioteca do WordPress.
Recentemente, foram encontrados erros críticos nesse plug-in que permitem que invasores em potencial excluam e alterem conteúdo e injetem código JavaScript malicioso devido a controles de acesso inadequados.
A vulnerabilidade classificada como crítica ainda não possui um ID do CVE e afeta a versão 1.8.2 e anterior. O WebToffee o corrigiu com o lançamento da versão 1.8.3 em 10 de fevereiro, seis dias depois de ter sido relatado ao desenvolvedor do plugin pelo pesquisador de segurança da NinTechNet, Jerome Bruandet.
A empresa de segurança WordPress WordFence, que também identificou de forma independente essa falha depois de corrigida pela WebToffee, diz que “a vulnerabilidade permite que os usuários no nível do assinante executem várias ações que podem comprometer a segurança do site”.
Sobre isso, Bruandet explicou que:
“Um usuário autenticado, como um assinante, pode usá-lo para colocar qualquer página ou publicação existente (ou todo o site) offline, alterando seu status de ‘publicado’ para ‘rascunho’. Além disso, é possível excluir ou alterar seu conteúdo. O conteúdo injetado pode incluir texto formatado, imagens locais ou remotas, além de hiperlinks e códigos de acesso.”
Os possíveis invasores também podem ter a falha de injetar código JavaScript que será carregado e executado automaticamente “sempre que alguém autenticado ou não visitar a página /cli-policy-preview/”.
A vulnerabilidade é causada por um problema de Controle de acesso inadequado na chamada AJAX cli_policy_generator, que expõe as ações get_policy_pageid, autosave_contant_data e save_contentdata aos assinantes.
Nos últimos dois dias desde o lançamento da versão corrigida, pouco mais de 76.000 usuários já atualizaram suas instalações, com mais de 600.000 ainda precisando proteger seus sites contra possíveis ataques na instalação da versão mais recente.

• Como instalar o jogo Vintage Story no Linux via Flatpak
• Como instalar o popular jogo League Of Legends no Linux via Snap
• Como instalar o jogo Minecraft no Linux via Snap
• Como instalar o jogo OceanPop no Linux via Flatpak

• Como descobrir qual a versão do Linux você está usando

• Como instalar o XAMPP no Linux sem complicações

• Como instalar o cliente AnyDesk no Ubuntu, Debian e derivados

• Como criar um pendrive bootável do Windows no Linux

Edivaldo Brito é analista de sistemas, gestor de TI, blogueiro e também um grande fã de sistemas operacionais, banco de dados, software livre, redes, programação, dispositivos móveis e tudo mais que envolve tecnologia.
Blog do Edivaldo é um site que descomplica o Linux com noticias, dicas, tutoriais e informações sobre Ubuntu, Debian, Mint, Fedora, openSUSE, Arch, Redhat, CentOS, Manjaro e muito mais informações sobre Linux, software livre e de código aberto.

source