Ao explorar as vulnerabilidades, invasor pode assumir privilégios de um administrador e o controle de um site WordPress
O Ultimate Member é um plugin de perfil de usuário gratuito implantado para criar comunidades online e sites de membros com WordPress. Ele permite que os proprietários do site criem funções personalizadas e gerenciem os privilégios dos membros do site.
"Descobrimos que o formulário de registro do usuário carecia de algumas verificações nos dados do usuário enviados", escrevem os pesquisadores. "Esse descuido possibilitou que um invasor fornecesse meta-chaves arbitrárias do usuário durante o processo de registro, o que atualizaria essas meta-chaves no banco de dados."
Os pesquisadores descobriram a primeira falha em 19 de outubro e entraram em contato com o desenvolvedor do plugin em 23 de outubro. "Depois de estabelecer um canal de comunicação apropriado, fornecemos todos os detalhes de divulgação em 26 de outubro", disseram os pesquisadores.
O desenvolvedor agiu rapidamente, enviando à Wordfence uma cópia do primeiro patch pretendido para teste em 26 de outubro. "Confirmamos que o patch corrigiu uma das vulnerabilidades, no entanto, duas ainda permanecem", disseram os pesquisadores.
As falhas restantes foram corrigidas com uma cópia atualizada fornecida pelos desenvolvedores à Wordfence três dias depois. Uma versão corrigida do Ultimate Member, 2.1.12, foi lançada em 29 de outubro. "As vulnerabilidades de escalonamento de privilégios encontradas no plugin WordPress Ultimate Member demonstram os riscos contínuos dos plugins para qualquer aplicativo da web, tornando-os um alvo regular para invasores.
Apenas um plugin de terceiros comprometido pode infectar dezenas de milhares de sites de uma só vez", comentou Ameet Naik, evangelista de segurança da PerimeterX. "As empresas devem compreender os riscos impostos por plugins do WordPress de terceiros e devem proteger seus sites usando firewalls de aplicativos da web, bem como soluções de visibilidade do lado do cliente que podem revelar a presença de código malicioso em seus sites."