Foi lançada uma nova release para o WordPress, o CMS mais utilizado do planeta. A versão 3.6.1 vem com 3 importantes updates de segurança. São eles:

  • Block unsafe PHP unserialization that could occur in limited situations and setups, which can lead to remote code execution.
  • Prevent a user with an Author role, using a specially crafted request, from being able to create a post “written by” another user.
  • Fix insufficient input validation that could result in redirecting or leading a user to another website.

O interessante é que uma das vulnerabilidades encontradas poderá ser explorada via PHP Object Injection, uma falha reportada desde 2006, a unserialize().

Uma explicação detalhada do porque e como a vulnerabilidade poderá ser explorada poderá ser encontrada neste link e o seguinte vídeo abaixo demosntra o passo a passo de como explorar esta vulnerabilidade utilizando o ataque PHP Object Injection, mas tendo como vítima o Joomla:

Plugins de segurança para WordPress conseguem bloquear este tipo de ataque ?

Até o momento que estávamos terminando este post não havia nenhum plugin de segurança que conseguisse mitigar este tipo de ataque. Restando como solução o upgrade do WordPress.

Curso de segurança focado em WordPress

Vale lembrar que já temos turmas em aberto para o Curso de segurança focado em WordPress, o qual será realizado em SP, no próximo mês, tanto à distância como presencial (4bios).

O curso terá uma duração de 8 horas e todas as informações quanto a ele poderão ser esclarecidas no seguinte site.