Uma falha crítica no plugin Post SMTP, utilizado por mais de 200 mil sites WordPress, está colocando milhares de páginas em risco de invasões. A vulnerabilidade, identificada como CVE-2023-6875, permite que invasores redefinam senhas de administradores, mesmo sem autenticação, comprometendo o controle total do site.
O problema está em uma configuração incorreta da função POST_SMTP_AUTH, que pode ser explorada via APIs REST. Com isso, atacantes conseguem forçar redefinições de senha ao enviar requisições maliciosas para contas de administradores, especialmente em sites que têm o recurso de redirecionamento ativado.
O plugin afetado é popular por facilitar o envio de e-mails via SMTP, integrando serviços como Gmail e Outlook. A falha já foi corrigida na versão 2.8.7, e os desenvolvedores recomendam que os usuários atualizem imediatamente. Sites que ainda utilizam versões anteriores permanecem expostos a ataques que podem comprometer dados, operações e reputação.
Dica de Prevenção:
Se sua empresa utiliza WordPress, mantenha todos os plugins atualizados e monitore versões vulneráveis em uso. Além disso, ative autenticação em dois fatores para administradores e implemente firewalls de aplicação (WAF) para bloquear requisições maliciosas. O monitoramento constante e a aplicação de boas práticas de segurança reduzem drasticamente os riscos de invasões.
Falhas como essa mostram como um único plugin pode abrir brechas críticas na segurança. A LC SEC oferece serviços especializados em auditoria de sites, identificação de vulnerabilidades e proteção contínua. Acesse lcsec.io e descubra como podemos proteger seu ambiente digital.
Compartilhe nas redes sociais:
