A vulnerabilidade do WordPress Plugin OptinMonster expõe os editores a invasão total do site e ameaças de downloads maliciosos

Pesquisadores de segurança do WordPress no Wordfence relataram que uma falha no plug-in OptinMonster WordPress foi encontrada para permitir que hackers carreguem scripts maliciosos para atacar os visitantes do site e levar ao controle total do site. A falha em realizar uma verificação básica de segurança expõe mais de um milhão de sites a eventos de hackers em potencial.

Os pesquisadores do Wordfence comentaram:

“… Detalhamos uma falha no plug-in OptinMonster que ativou uma cadeia de exploração perigosa que possibilitou que invasores não autenticados recuperassem os dados confidenciais de um site e obtivessem acesso não autorizado a contas de usuário OptinMonster, que poderiam ser usadas para adicionar scripts maliciosos a sites vulneráveis. ”

Falta de verificação de capacidade de endpoint da API REST

Essa vulnerabilidade não se deve ao fato de os hackers serem realmente espertos e encontrarem uma maneira inteligente de explorar um plugin WordPress perfeitamente codificado. Muito pelo contrário.

De acordo com pesquisadores de segurança da popular empresa de segurança WordPress Wordfence, o exploit foi devido a uma falha na implementação do WordPress REST-API no plugin OptinMonster WordPress que resultou em “ verificação de capacidade insuficiente ”.

Quando devidamente codificado, o REST-API é um método seguro para estender a funcionalidade do WordPress, permitindo que plug-ins e temas interajam com um site WordPress para gerenciar e publicar conteúdo. Ele permite que um plugin ou tema interaja diretamente com o banco de dados do site sem comprometer a segurança … se codificado corretamente.

A documentação da API REST do WordPress afirma:

“… O mais importante a entender sobre a API é que ela habilita o editor de blocos e as interfaces de plug-ins modernas sem comprometer a segurança ou privacidade do seu site.”

A API REST do WordPress deve ser segura. 

Infelizmente, todos os sites que usam o OptinMonster tiveram sua segurança comprometida por causa de como o OptinMonster implementou a API REST do WordPress.

Maioria dos pontos de extremidade REST-API comprometidos

Os terminais REST-API são URLs que representam as postagens e páginas em um site WordPress que um plugin ou tema pode modificar e manipular.

Mas, de acordo com o Wordfence, quase todos os terminais REST-API no OptinMonster foram codificados incorretamente, comprometendo a segurança do site.

Essa vulnerabilidade não tinha essa barreira, nenhuma autenticação era necessária para explorar o OptinMonster, que é o pior cenário em comparação com exploits autenticados.

Wordfence alertou sobre a gravidade de um ataque a um site usando OptinMonster:

“… Qualquer invasor não autenticado pode adicionar JavaScript malicioso a um site que executa o OptinMonster, o que pode, em última análise, fazer com que os visitantes do site sejam redirecionados para domínios maliciosos externos e sites totalmente controlados caso o JavaScript seja adicionado para injetar novas contas de usuário administrativo ou substituir o plugin código com um webshell para obter acesso backdoor a um site. ”

Curso de ação recomendado

O Wordfence notificou os editores do OptinMonster e cerca de dez dias depois lançou uma versão atualizada do OptinMonster que tapou todas as brechas de segurança.

A versão mais segura do OptinMonster é a versão 2.6.5.

O Wordfence recomenda que todos os usuários do OptinMonster atualizem seus plug-ins:

“Recomendamos que os usuários do WordPress verifiquem imediatamente se seu site foi atualizado para a última versão com patch disponível, que é a versão 2.6.5 no momento desta publicação.”

O WordPress oferece documentação sobre as melhores práticas para REST-API e afirma que é uma tecnologia segura.

Portanto, se esses tipos de problemas de segurança não deveriam ocorrer, por que continuam acontecendo?

A documentação do WordPress sobre as práticas recomendadas para os estados REST-API:

“… Habilita o editor de blocos e interfaces de plug-ins modernas sem comprometer a segurança ou privacidade do seu site.”

Com mais de um milhão de sites afetados por esta vulnerabilidade, devemos nos perguntar por que, se existem as melhores práticas, esse tipo de vulnerabilidade aconteceu no popular plugin OptinMonster.

Embora isso não seja culpa do próprio WordPress, esse tipo de coisa reflete negativamente em todo o ecossistema WordPress.