O plugin WordPress premium da Radykal, Fancy Product Designer, contém duas vulnerabilidades críticas que permanecem sem correção em sua versão mais recente.
Com mais de 20.000 vendas, o plugin permite que os usuários personalizem designs de produtos — como roupas, canecas e capas de telefone — em sites WooCommerce alterando cores, transformando texto ou modificando o tamanho.
Ao revisar o plugin, Rafie Muhammad da Patchstack descobriu duas falhas críticas em 17 de março de 2024:
- CVE-2024-51919 (pontuação CVSS: 9,0): Uma implementação insegura das funções de upload de arquivo ‘save_remote_file’ e ‘fpd_admin_copy_file’ causa uma vulnerabilidade de upload de arquivo arbitrário não autenticado. Essas funções falham em validar ou restringir tipos de arquivo, permitindo que invasores carreguem arquivos maliciosos por meio de uma URL remota e alcancem a execução remota de código (RCE).
- CVE-2024-51818 (pontuação CVSS: 9,3): A higienização inadequada de entradas do usuário devido à função ‘strip_tags’ insuficiente leva a uma falha de injeção de SQL não autenticada. A entrada fornecida pelo usuário é incluída diretamente em consultas de banco de dados sem validação adequada, o que pode permitir que invasores comprometam bancos de dados, recuperem dados confidenciais ou modifiquem e excluam registros.
Embora o Patchstack tenha informado a Radykal sobre esses problemas um dia após descobri-los, o fornecedor não respondeu.
Em 6 de janeiro, o Patchstack adicionou as falhas ao seu banco de dados e publicou uma postagem de blog para alertar os usuários e aumentar a conscientização sobre os riscos.
Apesar de lançar 20 atualizações, incluindo a versão 6.4.3 há dois meses, a Radykal não abordou esses problemas críticos de segurança, de acordo com Muhammad.
A redação detalhada do Patchstack fornece informações técnicas suficientes para que invasores criem explorações e comecem a mirar em lojas virtuais que dependem do plugin Fancy Product Designer.
Como precaução, os administradores devem evitar uploads arbitrários de arquivos criando uma lista permitida de extensões de arquivo seguras. Além disso, o Patchstack recomenda higienizar as entradas do usuário para consultas de banco de dados usando técnicas de escape e formatação seguras para proteger contra injeção de SQL.
A empresa não forneceu um comentário até o momento desta publicação.
Fonte: BleepingComputer, Bill Toulas
