Vulnerabilidade No Plugin WPtouch Permite Upload de Backdoor

O WPtouch é um plugin para wordpress usado por 5,5 milhões de sites, essa vulnerabilidade afeta somente a verão 3.x, não há nada que se preocupar nas versões 1.x e 2.x. Este plugin é usado para manipular o conteúdo do site em dispositivos móveis, ele pode ser personalizado facilmente a partir do painel de administração sem qualquer impacto sobre a versão para desktop.

Pesquisadores de segurança do Sucuri dizem que apenas as sites que permitem o registro de usuários visitantes, que geralmente é ativada na seção de comentários do site estão em perigo.

Um invasor pode explorar o “gancho”  “admin_init” no WordPress, que é usado como um método de autenticação para obter acesso irrestrito ao site e fazer upload de uma shell remoto.  Basicamente, se um atacante registra no site e recebe o nonce via wp-admin, eles podem enviar um pedido de upload do arquivo que contém o nonce e a backdoor.

Montpas aconselha que administradores WordPress utilizem nonces em combinação com outras funções, como “current_user_can (),” a fim de impedir que usuários não autorizados atinjam áreas sensíveis.

A nova versão 3.4.3, corrige a falha de segurança atual. Administradores devem atualizar o plugin o mais breve possível, a fim de mitigar os riscos. O “gancho” “admin_init” também tem sido usado para alavancar os ataques através de outros componentes WordPress altamente populares.

Fonte: Latesthackingnews

Siga me

Ricardo Galossi

É um apaixonado por segurança da informação, atua profissionalmente há mais de 7 anos na área de tecnologia da informação, onde é focado em análise de vulnerabilidades e testes de invasão.Criou o blog Guia do TI para compartilhar conhecimento, ajudar os mais novos, incentivar debates e manter a comunidade atualizada com as principais notícias da área de TI.
Ricardo Galossi
Siga me

Últimos posts por Ricardo Galossi (exibir todos)

Ricardo Galossi

É um apaixonado por segurança da informação, atua profissionalmente há mais de 7 anos na área de tecnologia da informação, onde é focado em análise de vulnerabilidades e testes de invasão. Criou o blog Guia do TI para compartilhar conhecimento, ajudar os mais novos, incentivar debates e manter a comunidade atualizada com as principais notícias da área de TI.

Deixe seu comentário