Vulnerabilidade XSS CVE-2023-6000 usada para atingir mais de 3.000 sites
Um recente aumento nos ataques originados de uma nova campanha de malware está explorando uma vulnerabilidade bem conhecida no plugin WordPress Popup Builder, afetando mais de 3.300 sites por meio de ataques XSS.
A campanha Balada Injector, identificada em janeiro, aproveitou uma vulnerabilidade de cross-site scripting (XSS) denominada CVE-2023-6000, ostentando uma pontuação base CVSS de 8,8.
A Sucuri relata um aumento notável nos ataques nas últimas três semanas devido a uma campanha de malware em andamento visando especificamente a vulnerabilidade do Popup Builder nas versões 4.2.3 e anteriores.
A verificação remota de malware SiteCheck da Sucuri identificou infecções em mais de 1.170 sites. Os domínios associados a esses ataques foram registrados em 12 de fevereiro de 2024, há menos de um mês, incluindo ttincoming.traveltraffic[.]cc e host.cloudsonicwave[.]com.
Modo de operação
Explorando uma vulnerabilidade conhecida no plugin Popup Builder WordPress, os invasores injetam código malicioso na seção Custom JS ou CSS da interface de administração do WordPress, armazenada na tabela de banco de dados wp_postmeta, conforme revelado pela Sucuri ao Cyber Security News.
Essas injeções cobrem vários eventos do Popup Builder, como sgpb-ShouldOpen, sgpb-ShouldClose, sgpb-WillOpen, sgpbDidOpen, sgpbWillClose, sgpb-DidClose, correspondendo a diferentes estágios do processo de exibição de pop-up no site oficial.
Maneiras de mitigar o impacto do CVE-2023-6000
Para mitigação, os proprietários de plug-ins do Popup Builder não corrigidos são aconselhados a atualizar o plug-in vulnerável imediatamente ou empregar um firewall de aplicativo da web para correção virtual. A injeção prejudicial pode ser removida por meio da seção “JS ou CSS personalizado” do Popup Builder na interface de administração do WordPress.
Para evitar a reinfecção, recomenda-se uma verificação completa nos níveis do cliente e do servidor para identificar quaisquer backdoors ocultos de sites, de acordo com os pesquisadores. Esta recente campanha de malware serve como um lembrete gritante dos riscos associados à negligência na manutenção do software do site corrigido e atualizado.
