Falha no complemento de migração do WordPress pode levar a violações de dados
31 de Agosto de 2023

All-in-One WP Migration, um popular plugin de migração de dados para sites WordPress com 5 milhões de instalações ativas, sofre de manipulação de token de acesso não autenticado que pode permitir aos invasores acessar informações sensíveis do site.

All-in-One WP Migration é uma ferramenta amigável de migração de sites WordPress para usuários não técnicos e inexperientes, permitindo exportações perfeitas de bancos de dados, mídia, plugins e temas em um único arquivo que é fácil de restaurar em um novo destino.

A Patchstack relata que várias extensões premium que o fornecedor do plugin, ServMask, oferece contêm o mesmo trecho de código vulnerável que falta validação de permissão e nonce na função de inicialização.

Este código está presente na extensão Box, na extensão Google Drive, na extensão One Drive, e na extensão Dropbox, que foram criadas para facilitar os procedimentos de migração de dados usando as referidas plataformas de terceiros.

A falha, rastreada como CVE-2023-40004, permite que usuários não autenticados acessem e manipulem as configurações de token nas extensões afetadas, permitindo potencialmente aos atacantes desviar dados de migração de sites para suas próprias contas de serviço em nuvem de terceiros ou restaurar backups maliciosos.

A principal ramificação de explorar com sucesso a CVE-2023-40004 é uma violação de dados que pode incluir detalhes do usuário, dados críticos do site e informações proprietárias.

O problema de segurança é um pouco atenuado pelo fato de que o All-in-One WP Migration is é usado apenas durante os projetos de migração de sites e normalmente não deve estar ativo em nenhum outro momento.

A falha de controle de acesso foi descoberta pelo pesquisador da PatchStack, Rafie Muhammad, em 18 de julho de 2023, e relatada à ServMask para correção.

O fornecedor lançou atualizações de segurança em 26 de julho de 2023, introduzindo validação de permissão e nonce à função de inicialização.

Os usuários das extensões de terceiros premium afetadas são aconselhados a atualizar para as seguintes versões fixas:
- Box Extension: v1.54
- Google Drive Extension: v2.80
- OneDrive Extension: v1.67
- Dropbox Extension: v3.76

Além disso, os usuários são recomendados a usar a versão mais recente do plugin base (grátis), All-in-One WP Migration v7.78.

Publicidade

Aprenda hacking e pentest na prática com esse curso gratuito

Passe por todas as principais fases de um pentest, utilizando cenários, domínios e técnicas reais utilizados no dia a dia de um hacker ético. Conte ainda com certificado e suporte, tudo 100% gratuito. Saiba mais...