Venda de um pacote de exploits 0day/Nday para plugins WordPress

Venda de um pacote de exploits 0day/Nday para plugins WordPress

Apenas para fins informativos

Um pacote de sete vulnerabilidades independentes em plugins WordPress com uma base de instalação de 6 a 30+ mil instalações ativas cada está à venda. Segundo o autor, todos os exploits funcionam nas versões atuais.

WordPress sustenta cerca de 43% de todos os sites mundialmente (de acordo com dados da W3Techs), e os plugins tradicionalmente permanecem a principal fonte de vulnerabilidades. De acordo com Patchstack, plugins e temas de terceiros respondem pela vasta maioria das CVEs para WP: em 2025, 11.334 novas vulnerabilidades foram relatadas, das quais 91% estavam em plugins, 9% em temas e 6 no core do WordPress.

Positive Technologies em 2024 incluiu vulnerabilidades em plugins WordPress em sua lista de tendências.

Tipo de vulnerabilidade: uma cadeia de Divulgação de Informação (oráculo) e contorno da lógica de negócios de assinatura Número de instalações: 10.000+

O vendedor afirma que uma combinação de duas vulnerabilidades permite contornar a verificação e obter uma associação paga gratuitamente no plugin de assinaturas pagas, presumivelmente Paid Member Subscriptions.

Tipo de vulnerabilidade: contorno da proteção bot do reCAPTCHA v3 Número de instalações: 10.000+

De acordo com a descrição, o exploit contorna completamente a proteção bot integrada sem resolver o CAPTCHA. Permite, por exemplo, conduzir um ataque de força bruta em massa em registros e enumerar códigos promocionais.

Tipo de vulnerabilidade: Contorno de Autenticação via um provedor não validado

Segundo o vendedor, o exploit contorna completamente o segundo fator.

Tipo de vulnerabilidade: Divulgação de Informação não Autenticada Número de instalações: 20.000+

Com uma única solicitação GET não autenticada, toda a tabela de usuários do site é baixada: e-mail, telefones, nome completo, logins (incluindo administradores).

Tipo de vulnerabilidade: Falsificação de Solicitação do Lado do Servidor Cega

O exploit força o servidor a enviar uma solicitação HTTP para um URL arbitrário, incluindo endpoints internos e de metadados de nuvem (AWS IMDS, metadados GCP).

Tipo de vulnerabilidade: Enumeração de Usuário não Autenticada Número de instalações: 6.000+

Sem autorização, a composição de grupos, IDs de usuário sequenciais, logins e todo o banco de dados do site, incluindo o administrador, são enumerados.

Tipo de vulnerabilidade: inversão da lógica de controle de acesso

Uma única chamada inversa para a função desativa completamente a distinção "somente logado vs somente deslogado" no plugin. Transforma todos os endpoints protegidos em públicos.