Uma vulnerabilidade nas extensões do plugin All-in-One WP Migration expõe sites WordPress a ataques que levam à divulgação de informações confidenciais.

Com mais de cinco milhões de instalações e mantido pela ServMask, All-in-One WP Migration é um plugin altamente popular para movimentação de sites que também oferece diversas extensões premium para migração a plataformas de terceiros.

Na quarta-feira, a empresa de segurança WordPress Patchstack compartilhou detalhes sobre uma vulnerabilidade que afeta as extensões Box, Google Drive, OneDrive e Dropbox do All-in-One WP Migration que podem permitir que invasores acessem informações confidenciais.

Rastreado como CVE-2023-40004 e descrito como um problema de manipulação de token de acesso não autenticado, o bug possibilita que um invasor não autenticado altere a configuração do token de acesso da extensão afetada.

“Essa manipulação do token de acesso pode resultar em uma potencial divulgação de informações confidenciais de migração para a conta de terceiros controlada pelo invasor, ou na restauração de um backup malicioso”, diz Patchstack.

A falha foi identificada na função init das extensões afetadas, que está “conectada ao gancho admin_init do WordPress”, e pode ser acionada por um invasor sem autenticação.

“Como não há permissão e validação de nonce na função init, um usuário não autenticado pode modificar ou excluir o token de acesso usado em cada uma das extensões afetadas”, explica Patchstack.

Em 18 de julho, a empresa de segurança WordPress relatou a vulnerabilidade ao ServMask, que corrigiu o bug em todas as extensões afetadas “adicionando permissão e validação de nonce na função init”.

Os usuários são aconselhados a atualizar para a extensão Box do All-in-One WP Migration versão 1.54, extensão Google Drive versão 2.80, extensão OneDrive versão 1.67 e extensão Dropbox versão 3.76, que foram lançadas no final de julho.

Para saber mais, clique aqui.