Mike Gozdiskowski

The Customer Switching WordPress plugin before 2.1.3 does not securely bind an active user-switching session to the operator who initiated it, allowing a lower-privileged account that an operator is currently switched into to be resolved as that operator and to switch into any permitted account, including an administrator, resulting in full account takeover.

**Nome do Software Vulnerável e Versões Afetadas** LA-Studio Element Kit for Elementor versões anteriores a 1.6.1 **Descrição** O plugin não verifica se o registro de usuário está habilitado no site antes de criar uma conta por meio de uma ação AJAX não autenticada. Isso permite que invasores não autenticados registrem novas contas mesmo quando o registro em todo o site estiver desativado. **Recomendações** Atualize o LA-Studio Element Kit for Elementor para a versão 1.6.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** EscortWP versões anteriores a 3.6.3 **Descrição** O tema WordPress EscortWP contém um backdoor ofuscado, criado pelo fornecedor. Isso permite que um invasor não autenticado, utilizando uma chave codificada (hard-coded) por build, exclua permanentemente todo o conteúdo do site. Além disso, o backdoor transmite secretamente a URL do site, o e-mail do administrador e a chave de licença para um servidor de terceiros. **Recomendações** Atualize o EscortWP para uma versão posterior à 3.6.2.

**Nome do Software Vulnerável e Versões Afetadas** uncanny-automator-pro WordPress plugin versões anteriores a 7.3.0.6 **Descrição** O software foi distribuído com código malicioso após o comprometimento da infraestrutura de atualização e distribuição do fornecedor. Este comprometimento da cadeia de suprimentos introduziu um backdoor que permite que atacantes não autenticados obtenham uma sessão de administrador em sites afetados. Além disso, o código malicioso envia as chaves secretas do site e detalhes do administrador para servidores controlados pelo atacante. **Recomendações** Atualize o uncanny-automator-pro WordPress plugin para a versão 7.3.0.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Real Testimonials Pro (versões afetadas não especificadas) Product Slider Pro for WooCommerce (versões afetadas não especificadas) Smart Post Show Pro (versões afetadas não especificadas) **Description** Ocorreu um comprometimento da cadeia de suprimentos onde invasores infiltraram-se no pipeline de compilação e distribuição da ShapedPlugin. Isso permitiu a injeção de um backdoor de vários estágios em versões Pro de plugins distribuídas através de canais oficiais de atualização licenciados. Atacantes não autenticados podem obter acesso total de backdoor aos sites afetados. O malware facilita o roubo de credenciais, vazamentos de banco de dados e a exfiltração de segredos de 2FA (sementes TOTP) de plugins como WP 2FA, Wordfence Login Security, Really Simple SSL e Two-Factor, ignorando efetivamente a autenticação de múltiplos fatores. Detalhes técnicos incluem um carregador de estágio 1 em `src/Includes/LicenseLoader.php` que é executado no `admin init` e se comunica com um servidor de comando e controle. Um payload de estágio 2 é depositado em `wp-content/plugins/woocommerce-subscription/`, que se oculta usando o filtro `all plugins`. Este payload inclui um backdoor de API REST no endpoint '/wp-json/wc/v3/settings/apply', um webshell de parâmetro de URL e um bypass de login utilizando um hash MD5 fixo `e268c35a06d85f672e70c9beecb4e5d1`. **Recommendations** Atualize os plugins afetados imediatamente para as versões corrigidas mais recentes. Como mitigação temporária, restrinja o acesso ao endpoint '/wp-json/wc/v3/settings/apply' e monitore o arquivo `src/Includes/LicenseLoader.php` em busca de atividades não autorizadas.

**Name of the Vulnerable Software and Affected Versions** Guest posting / Frontend Posting / Front Editor WordPress plugin versions prior to 5.0.6 **Description** The plugin allows passing a URL parameter to regenerate a .json file based on demo data. If an administrator modifies the demo form and enables admin notifications, an unauthenticated attacker can export and download all form data and settings, including the administrator's email address. The vulnerable functionality involves the regeneration of a `.json` file based on demo data using a URL parameter. **Recommendations** Update the Guest posting / Frontend Posting / Front Editor WordPress plugin to version 5.0.6 or later.

Nome do Software Vulnerável e Versões Afetadas: Disable-right-click-powered-by-pixterme versões até a 1.2 pixter-image-digital-license versões até a 1.0 Descrição: Os plugins do WordPress Disable-Right-Click e Pixter Image Digital License carregam um arquivo JavaScript comprometido de um bucket S3 abandonado. Isso permite acesso não autorizado e potencial controle do plugin pela entidade que controla o bucket comprometido. Atualmente, o arquivo comprometido exibe um alerta promovendo serviços de segurança, com os usuários que pagam sendo adicionados ao allowedDomains para suprimir o popup. Recomendações: As versões do Disable-right-click-powered-by-pixterme anteriores à 1.2 devem ser atualizadas. As versões do pixter-image-digital-license anteriores à 1.0 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** Versões do plugin Order Delivery Date para WordPress anteriores à 12.3.1 **Descrição** O problema refere-se à falta de verificações de autorização e CSRF durante a importação de configurações no plugin Order Delivery Date para WordPress. Isso permite que atacantes modifiquem opções sensíveis, como `default user role` para administrador e `users can register`, permitindo-lhes registrar-se como administradores do site e obter controle total. **Recomendações** Para versões anteriores à 12.3.1, atualize para a versão 12.3.1 ou posterior para resolver o problema. Como medida paliativa temporária, considere restringir o acesso à funcionalidade de importação de configurações até que um patch seja aplicado. Além disso, monitore atentamente os registros de usuários e as atribuições de funções para detectar qualquer atividade maliciosa em potencial.