Atualização de segurança lançada

No início do dia de hoje, uma importante falha de segurança foi descoberta na base de código do AffiliateWP que poderia ser explorada por uma pessoa com intenções maliciosas.

A falha ocorreu devido a várias consultas ao banco de dados para dados de afiliados, referências, visitas e criativos que estavam sujeitos a uma possível injeção de SQL.

Com a versão 1.5.7, a falha foi corrigida.

Qual a importância de atualizar para a versão 1.5.7?

Levamos a segurança muito a sério e sempre incentivamos os usuários a atualizar para as versões mais recentes o mais rápido possível. Neste caso específico, recomendamos que você atualize imediatamente para garantir que a falha seja removida.

Como a falha poderia ser explorada?

Por motivos de segurança, não podemos fornecer os detalhes exatos de como a falha poderia ser explorada, mas podemos fornecer uma visão geral básica para lhe dar uma ideia do problema.

Devido a alguns parâmetros não serem devidamente higienizados em nossas consultas ao banco de dados apenas para administradores, foi potencialmente possível para alguém adulterar as consultas e realizar um ataque de injeção de SQL.

Observação: só foi possível que essa injeção de SQL ocorresse quando o usuário logado no momento tivesse as permissões necessárias para visualizar e editar dados de afiliados. Usuários deslogados e usuários de baixo nível não foram afetados. Isso significa que um invasor teria que enganar um administrador do site para clicar em um link malicioso para que a falha fosse explorada.

O problema foi corrigido em poucas horas após ser descoberto e a atualização foi disponibilizada imediatamente depois. Para garantir que seu site esteja 100% seguro, por favor, atualize para a versão 1.5.7.

Se você tiver alguma dúvida ou preocupação sobre esta atualização ou sobre a segurança do seu site, não hesite em nos contatar.