Um plugin do WordPress chamado 'ThemeGrill Demo Importer' expôs 200.000 sites a hackers

Sistemas de gerenciamento de conteúdo (CMS) como o WordPress transformaram completamente o processo de criação e manutenção de um site. No momento, criar um site pode ser tão fácil quanto configurar uma instalação do WordPress e adicionar algum conteúdo. As pessoas que criaram sites inteiros do zero agora criam temas e plug-ins do CMS que ajudam a ajustar e personalizar seu próprio site com apenas alguns cliques do mouse. É muito mais conveniente e, mais importante, um pouco mais barato do que costumava ser. Há uma troca, no entanto.

As pessoas que escrevem temas e plugins para plataformas como o WordPress cometem erros de vez em quando, e quando o fazem, os erros não afetam apenas um site. Um único bug pode causar problemas para milhares de sites e, se o problema estiver relacionado à segurança, as consequências podem ser bastante devastadoras. Uma vulnerabilidade recentemente descoberta no plugin ThemeGrill Demo Importer para WordPress nos mostrou o quão ruim as coisas poderiam ser.

O ThemeGrill deixou um bug que poderia permitir que hackers limpassem sites inteiros

O ThemeGrill desenvolve temas premium para WordPress e também oferece um plug-in chamado ThemeGrill Demo Importador, que permite que os administradores importem facilmente temas e configurações diretamente para seus sites. Se você possui um site baseado no WordPress e usa o ThemeGrill Demo Importador, verifique se o plug-in está atualizado para sua versão mais recente. Pesquisadores da WebARX descobriram que todas as encarnações do plugin entre o ThemeGrill Demo Importer 1.3.4 e o ThemeGrill Demo Importer 1.6.1 são afetadas por uma vulnerabilidade de segurança crítica que pode permitir que hackers causem estragos completos.

O problema está em uma função chamada reset_wizard_actions, carregada quando o plug-in detecta um tema ativo do ThemeGrill. A função se conecta ao admin_init, que normalmente é executado apenas em um ambiente de administrador. Ele também pode fazer chamadas para /wp-admin/admin-ajax.php, e os pesquisadores descobriram que, ao interagir com esse arquivo, o reset_wizard_actions não verifica se um usuário está autenticado.

Usando cargas úteis cuidadosamente elaboradas, os hackers podem eliminar todo o conteúdo de um site vulnerável ou podem assumir direitos administrativos e fazer mais ou menos o que quiserem com ele.

O ThemeGrill corrigiu o plug-in

O relatório do WebARX mostra que divulgar o problema e ajudar na correção não foi a experiência mais tranquila, mas devemos ressaltar que vimos muito pior. Os pesquisadores enviaram seu primeiro relatório em 6 de fevereiro. Depois de cinco dias sem respostas, tentaram entrar em contato com o ThemeGrill novamente. Em 14 de fevereiro, o desenvolvedor finalmente respondeu e, em dois dias, foi lançada uma nova versão que soluciona o problema.

O fato de a vulnerabilidade estar corrigida é uma boa notícia, mas é apenas metade da história. O ThemeGrill Demo Importer 1.3.4, a versão que introduziu o bug, foi lançado três anos atrás, e todos os sites que usaram o plugin entre então e domingo, quando o patch foi lançado, foram expostos. Embora não haja evidências de exploração incontrolável, muitos dos 200 mil sites que têm o ThemeGrill Demo Importador instalado ainda usam versões vulneráveis do plug-in, o que significa que poderemos ver vítimas da vulnerabilidade em breve.

É aqui que reside o grande problema. De acordo com a W3Techs, o WordPress fornece mais de 35% de todos os sites ao redor do mundo. Existe um ecossistema inteiro que suporta o CMS, e milhões de pessoas o usam porque manter um site com ele é o mais fácil possível. Infelizmente, a experiência nos ensinou que as atualizações e patches de segurança não estão muito presentes nas listas de prioridades de muitas dessas pessoas. Se a internet se tornar um lugar mais seguro, isso deve mudar.