Um pesquisador de segurança da Acquia identificou uma vulnerabilidade crítica que pode comprometer mais de 400 mil sites hospedados no WordPress. A falha, que foi detectada em fevereiro, está relacionada a uma injeção de SQL não autenticada no plugin Ally, uma ferramenta de acessibilidade utilizada para criar páginas web inclusivas.
O plugin Ally, que possui funcionalidades como sugestões de inteligência artificial e um gerador automático de declarações de acessibilidade, permite que hackers invadam até 50.000 sites como administradores. A exploração da falha possibilita a extração de dados por agentes maliciosos, o que pode resultar em sérios prejuízos para as vítimas.
Detalhes da Vulnerabilidade
A vulnerabilidade está ligada a uma verificação insegura na consulta de assinantes do plugin Ally. O problema ocorre porque o plugin utiliza um parâmetro de URL sem a devida proteção oferecida pela função wpdb->prepare(), que é essencial para parametrizar as solicitações no WordPress. Isso permite que criminosos injetem comandos SQL maliciosos, comprometendo o banco de dados e extraindo informações confidenciais, como hashes de senhas.
Recomendações e Correções
A equipe de desenvolvedores do plugin Ally foi notificada sobre a falha, que afeta todas as versões do plugin até a 4.0.3. Uma correção foi disponibilizada na versão 4.1.0, e é altamente recomendada uma atualização urgente para todos os usuários do plugin a fim de evitar possíveis problemas de segurança.
Opinião
A descoberta dessa vulnerabilidade reforça a importância da atualização constante de plugins e a vigilância em relação à segurança digital, especialmente em plataformas amplamente utilizadas como o WordPress.
