PERIGO: vulnerabilidade do plugin Duplicator permite fazer download de arquivos importantes do site WordPress. Para quem não conhece, a função deste plugin é permitir a migração completa de determinado site ou blog para uma nova hospedagem. Além de permitir a realização de backup de todo o conteúdo, templates, layouts e demais plugins.
Entretanto, este plugin possui uma falha grave, onde permite ao invasor ter acesso ao servidor. Consequentemente, liberando o download de arquivos importantes e críticos do site que esteja exposto a esta vulnerabilidade.
Seções desta página
Vulnerabilidade no plugin Duplicator – WordPress Migration
Trocando em miúdos, a falha permite que hackers e/ou invasores não autenticados explorem a falha de segurança enviando uma solicitação ao site com o plugin Duplicator instalado. Liberando o download de todos os arquivos que estejam fora do diretório padrão do WP. Ou seja, de todos os arquivos que estejam fora do diretório wp-content.
Embora o hacker precise de um bom conhecimento referente à estrutura de arquivos de destino do site vulnerável, isso não o impede de tentar baixar os arquivos já conhecidos publicamente. Por exemplo, os hackers podem conseguir baixar até mesmo o arquivo wp-config.php.
Segurança extra para clientes PortoFácil
A vulnerabilidade do plugin Duplicator afeta as seguintes versões:
- Duplicator: versão 1.3.26 (e anteriores);
- Duplicator Pro: versão 3.8.7 (e anteriores).
Por isso, visando a segurança de todos os nossos clientes, a PortoFácil criou um script automático, que faz uma busca completa a cada 3 horas, localizando e excluindo toda incidência deste plugin nos sites hospedados conosco.
Conclusão
Além de oferecermos os melhores servidores dedicados e VPS do mercado, nós da PortoFácil prezamos pela segurança integral de nossos clientes. Sendo assim, toda vez que alguma vulnerabilidade como esta aparecer, estaremos prontos para combatê-la o mais rápido possível.
Contudo, se você que é nosso cliente, e ainda tem alguma dúvida referente a esta — ou a outra — falha de segurança, entre em contato imediatamente com nosso suporte técnico. Temos uma equipe pronta para tirar todas as suas dúvidas.
Fonte: Lifehacker