CVE-2024-27956

O ValvePress Automatic aceita entrada que flui sem sanitização para uma consulta SQL, e a injeção é alcançada sem autenticação e cruza uma fronteira de confiança no processo. Num plugin de WordPress isso significa que um atacante não autenticado pode manipular o banco de dados diretamente, o que é um pulo curto de ler credenciais para tomar uma conta administrativa e, daí, o site inteiro.

Este é o perfil que as campanhas de varredura em massa adoram: um plugin amplamente implantado, nenhum login a derrotar e uma nota quase no topo. SQL injection não autenticada pública em plugins de WordPress tipicamente atrai exploração automatizada rapidamente, atingindo cada instalação alcançável sem discriminação, porque o retorno — acesso ao banco levando à tomada do site — é genérico e confiável.

A parte difícil para nós não é entender o bug, é o problema de inventário do WordPress: esses plugins são instalados por site pelos donos, que raramente os rastreiam centralmente. Então focamos em responder, em tudo o que hospedamos, quais sites rodam o Automatic, em qual versão e se o caminho vulnerável é alcançável pela internet. Onde não conseguimos atualizar rápido o suficiente, uma regra de WAF mirando o padrão de injeção é um paliativo razoável, mas a correção durável é levar essa lista de versões a um teto corrigido.