No início do dia de hoje, uma importante falha de segurança foi descoberta na base de código do AffiliateWP que poderia ser explorada por uma pessoa com intenções maliciosas.
A falha ocorreu devido a várias consultas ao banco de dados para dados de afiliados, referências, visitas e criativos que estavam sujeitos a uma possível injeção de SQL.
Com a versão 1.5.7, a falha foi corrigida.
Qual a importância de atualizar para a versão 1.5.7?
Levamos a segurança muito a sério e sempre incentivamos os usuários a atualizar para as versões mais recentes o mais rápido possível. Neste caso específico, recomendamos que você atualize imediatamente para garantir que a falha seja removida.
Como a falha poderia ser explorada?
Por motivos de segurança, não podemos fornecer os detalhes exatos de como a falha poderia ser explorada, mas podemos fornecer uma visão geral básica para lhe dar uma ideia do problema.
Devido a alguns parâmetros não serem devidamente higienizados em nossas consultas ao banco de dados apenas para administradores, foi potencialmente possível para alguém adulterar as consultas e realizar um ataque de injeção de SQL.
Observação: só foi possível que essa injeção de SQL ocorresse quando o usuário logado no momento tivesse as permissões necessárias para visualizar e editar dados de afiliados. Usuários deslogados e usuários de baixo nível não foram afetados. Isso significa que um invasor teria que enganar um administrador do site para clicar em um link malicioso para que a falha fosse explorada.
O problema foi corrigido em poucas horas após ser descoberto e a atualização foi disponibilizada imediatamente depois. Para garantir que seu site esteja 100% seguro, por favor, atualize para a versão 1.5.7.
Se você tiver alguma dúvida ou preocupação sobre esta atualização ou sobre a segurança do seu site, não hesite em nos contatar.
1 comentário