Uma vulnerabilidade crítica no plugin User Registration & Membership, com mais de 70 mil instalações ativas no WordPress, está sendo ativamente explorada por agentes maliciosos para criar contas administrativas não autorizadas. A falha permite que qualquer usuário não autenticado eleve seus privilégios diretamente para administrador, sem qualquer interação do proprietário do site.
Após obter acesso administrativo, os atacantes instalam plugins backdoor, injetam código malicioso nas páginas do site e redirecionam visitantes para domínios de phishing ou distribuição de malware. O Wordfence registrou dezenas de milhares de tentativas de exploração nas primeiras 48 horas após a divulgação da vulnerabilidade, com múltiplos IPs de origem simultâneos.
A GiveWP, mantenedora do plugin, lançou a versão corrigida em caráter de emergência. Administradores de sites WordPress que utilizam o plugin devem atualizar imediatamente para a versão mais recente, auditar usuários administradores cadastrados e verificar a integridade de arquivos e plugins instalados recentemente.
Sistemas Afetados
- WordPress com plugin User Registration & Membership (versões vulneráveis)
- Sites com registro público de usuários habilitado
- Instalações sem firewall de aplicação web (WAF)
Fonte: Wordfence / BleepingComputer
Ler fonte original