WPML 4.5.14 – Melhorias de segurança

Acabamos de lançar o WPML 4.5.14 com uma pequena melhoria de segurança.

Há algumas semanas, recebemos relatórios sobre um aviso de segurança relacionado ao WPML. O aviso é exibido apenas no painel de controle Plesk e descreve o problema como uma “vulnerabilidade de Cross-Site Request Forgery (CSRF)”. Agradecemos a todos que relataram isso.

Atualização: após o lançamento do WPML 4.5.14, recebemos relatórios de clientes de que ele corrige com sucesso o aviso de segurança relacionado no Plesk.

Quando esta vulnerabilidade aparece

O problema é extremamente improvável de ser explorado e acontece apenas sob circunstâncias muito específicas:

• Um usuário com permissões de administrador clica em um link malicioso de um site externo usando a mesma sessão/cookies do navegador

…e uma das seguintes opções também é verdadeira:

• O servidor está configurado explicitamente para permitir o Cross-Origin Resource Sharing (CORS) com o domínio usado pelo invasor
• O usuário afetado está usando um navegador que ignora as configurações de CORS ou passa informações de cookies para requisições sem políticas de cross-origin

Até onde sabemos, ninguém realmente configurou seus sites dessa maneira e ninguém foi afetado por esse problema.

O WPML 4.5.14 já está disponível e resolve esse problema.

A importância dos relatórios de segurança

Estamos cientes da importância dos relatórios de segurança e geralmente reagimos imediatamente. Desta vez, tivemos nossa atenção desviada pelos problemas relacionados ao WordPress 6.1, então levamos um pouco mais de tempo do que o normal para responder.

Já estamos melhorando nosso fluxo de trabalho para garantir que até mesmo os menores relatórios de segurança sejam investigados, corrigidos e lançados imediatamente.

Como atualizar para o WPML 4.5.14

Esta versão está sendo lançada gradualmente. Se você quiser obtê-la agora mesmo, pode verificar a atualização manualmente. Para fazer isso, vá para Plugins → Adicionar novo e clique na aba Comercial. Em seguida, clique em Verificar atualizações.

Você também pode baixá-lo diretamente da sua conta do WPML.

Opiniões, feedback?

Use os comentários abaixo para nos informar suas opiniões sobre esta versão e nós responderemos.