Vulnerabilidade do plug-in WordPress CVE-2024-1071
Uma vulnerabilidade de segurança significativa foi revelada no Ultimate Member, um plugin WordPress amplamente utilizado com mais de 200.000 instalações ativas. Identificada como CVE-2024-1071, esta falha obteve uma alta pontuação CVSS de 9,8 em 10 e foi descoberta e relatada pelo pesquisador de segurança Christiaan Swiers. Conforme detalhado em um comunicado recente da Wordfence, uma empresa de segurança do WordPress, o plugin (versões 2.1.3 a 2.8.2) é suscetível à injeção de SQL por meio do parâmetro 'classificação' devido ao escape inadequado nos parâmetros fornecidos pelo usuário e preparação insuficiente em a consulta SQL existente.
Esta lacuna poderia ser explorada por invasores não autenticados para inserir consultas SQL adicionais nas consultas atuais, levando à extração de dados confidenciais do banco de dados. É crucial observar que esse problema afeta os usuários que selecionaram a opção “Ativar tabela personalizada para usermeta” nas configurações do plugin.
Após a divulgação responsável em 30 de janeiro de 2024, os desenvolvedores do plug-in resolveram prontamente a vulnerabilidade lançando a versão 2.8.3 em 19 de fevereiro. Os usuários são fortemente aconselhados a atualizar seus plug-ins para a versão mais recente imediatamente para minimizar riscos potenciais, especialmente considerando que o Wordfence já frustrou um ataque tentando explorar a falha nas últimas 24 horas.
É digno de nota que uma vulnerabilidade semelhante (CVE-2023-3460, pontuação CVSS: 9,8) no mesmo plug-in foi ativamente abusada por agentes de ameaças em julho de 2023. A exploração dessa falha permitiu-lhes criar usuários administradores não autorizados e assumir o controle de sites vulneráveis.
O que é o sistema unificado de classificação CVE para vulnerabilidades?
O Common Vulnerability Scoring System (CVSS) é um sistema de pontuação padronizado usado para avaliar e comunicar a gravidade das vulnerabilidades em sistemas de software. Ele fornece uma estrutura comum para organizações e indivíduos avaliarem o impacto das vulnerabilidades de segurança. O CVSS foi projetado para ser independente de fornecedor e é amplamente adotado na comunidade de segurança cibernética.
O CVSS atribui uma pontuação numérica às vulnerabilidades com base em vários fatores, incluindo a capacidade de exploração da vulnerabilidade, o impacto na confidencialidade, integridade e disponibilidade do sistema afetado e se a vulnerabilidade requer interação do usuário para exploração. As pontuações variam de 0 a 10, com pontuações mais altas indicando vulnerabilidades mais graves.
O CVSS passou por várias versões, e a versão mais recente, até onde tenho conhecimento, em janeiro de 2022, é CVSSv3.1. Ele fornece uma avaliação mais refinada e precisa das vulnerabilidades em comparação com versões anteriores.
O sistema “Common Vulnerabilities and Exposures” (CVE), por outro lado, é uma iniciativa separada que atribui identificadores exclusivos, chamados CVE IDs, a vulnerabilidades divulgadas publicamente. O sistema CVE não fornece pontuações de gravidade por si só. Em vez disso, é frequentemente usado em conjunto com o CVSS para identificar e avaliar vulnerabilidades de forma exclusiva.
