Falha de segurança no plugin WP-Members permite injeção de script

De acordo com a empresa de segurança Defiant, uma vulnerabilidade de cross-site scripting (XSS) de alta gravidade no plugin WP-Members Membership WordPress pode ser explorada por cibercriminosos para injetar scripts arbitrários em páginas da web.

Com mais de 60 mil instalações ativas, o WP-Members é um plugin de associação de utilizador do WordPress que possibilita aos proprietários de sites configurar e gerir facilmente o registo de utilizadores, logins e perfis, definir restrições, entre outros.

Segundo os investigadores, a vulnerabilidade CVE-2024-1852 deve-se a uma falta de limpeza de input, bem como de output escaping, permitindo aos invasores a criação de contas que possuem um script malicioso armazenado como o valor do endereço IP do utilizador.

A equipa de investigação Wordfence, da Defiant, explica que um cibercriminoso pode usar a funcionalidade de registo de utilizador do WP-Members Membership para preencher e enviar um formulário de registo. Além disto, um invasor pode utilizá-la para intercetar o pedido de registo com um proxy e modificá-lo para conter um cabeçalho X-Forwarded-For com uma carga maliciosa incluída em script tags.

Se um cabeçalho X-Forwarded-For estiver presente no pedido de registo, o plugin utiliza o seu valor para armazenar o endereço IP de qualquer utilizador que dependa do formulário de registo, dizem os investigadores.

“Devido ao facto de os cabeçalhos HTTP poderem ser manipulados e o input não ter sido higienizado, um utilizador pode fornecer qualquer valor, incluindo um script web malicioso que será armazenado como o IP do utilizador”, alerta a Defiant em comunicado. Com o script malicioso armazenado no perfil do utilizador, se um administrador editar ou visualizar a conta do utilizador, a carga útil será incluída no código-fonte gerado quando a página for carregada.

“É importante compreender que este código malicioso será executado no contexto da sessão do navegador de um administrador e pode ser usado para criar contas de utilizadores mal-intencionadas, redirecionar visitantes do site para outros sites maliciosos e realizar outras ações maliciosas”, adverte a Wordfence.

A versão 3.4.9.3 do WP-Members Membership corrige a vulnerabilidade em questão, surgindo após o lançamento de uma correção parcial na versão 3.4.9.2. Os utilizadores são aconselhados a proceder à atualização o mais rápido possível.