Vulnerabilidades em Plugins WordPress em Servidores Web Sem Suporte a .htaccess
Técnicas e Métodos de Ataque2026-10-14, 14:04
Vulnerabilidades em Plugins WordPress em Servidores Web Sem Suporte a .htaccess
Pesquisadores da UltraStrike demonstraram como plugins WordPress que dependem de
.htaccess para controle de acesso podem expor arquivos sensíveis quando implantados em servidores web que não oferecem suporte a ele.O Apache pode usar regras
.htaccess para restringir o acesso a arquivos e diretórios. No entanto, Nginx, Caddy e IIS não interpretam essas regras. Se restrições equivalentes não forem configuradas no nível do servidor web, arquivos que estariam protegidos no Apache podem se tornar publicamente acessíveis.Os pesquisadores demonstraram esse problema em dois plugins de backup. Ambos os cenários permitem downloads não autenticados sob condições específicas.
• Everest Backup: Divulgação do Nome do Arquivo de Backup
O plugin Everest Backup armazena arquivos de backup em
/wp-content/ebwp-backups/, usando nomes de arquivo aleatórios para torná-los difíceis de adivinhar.
Durante a criação do backup, o plugin atualiza continuamente um arquivo de metadados chamado .PROCSTAT. Pouco antes de o backup terminar, esse arquivo revela o nome completo do arquivo gerado. No Apache, o .htaccess bloqueia o acesso a .PROCSTAT, ao mesmo tempo em que permite downloads de arquivos de backup .ebwp. Os arquivos são, portanto, protegidos principalmente por seus nomes imprevisíveis. No Nginx, Caddy ou outro servidor que ignora .htaccess, um atacante não autenticado pode solicitar repetidamente .PROCSTAT durante uma operação de backup, extrair o nome do arquivo e baixar o backup contendo arquivos do site e uma cópia do banco de dados.O desenvolvedor afirmou ter corrigido o problema na versão 2.3.13, mas o reteste da UltraStrike mostrou que a vulnerabilidade permanecia. Ela ainda não estava corrigida no momento da publicação.
• BackWPup: Exposição do Banco de Dados Após Restauração do Site
Quando um administrador restaura um backup usando BackWPup, o plugin extrai arquivos para:
/wp-content/uploads/backwpup-restore/extract/
Entre eles está manifest.json, que contém metadados que identificam o backup de banco de dados .sql extraído. No Apache, o .htaccess impede o acesso externo ao diretório de extração. Em servidores web que não suportam essas regras, um atacante não autenticado pode baixar manifest.json, identificar o nome do arquivo de dump SQL e recuperar o backup do banco de dados. Como o BackWPup não excluía automaticamente os arquivos extraídos após a restauração, eles podiam permanecer acessíveis por meses.
Pré-requisito: o administrador deve ter restaurado pelo menos um backup. Sites que nunca realizaram uma restauração não expõem esse conjunto específico de arquivos.O problema foi corrigido na versão 5.7.4.
Fornecedor
Produto
Mais