O plugin Allow PHP in Posts and Pages para WordPress é vulnerável a Execução Remota de Código em versões até, e incluindo, 3.0.4 via o shortcode 'php'. Isso permite que atacantes autenticados com s

A exploração bem-sucedida desta vulnerabilidade permite que um atacante autenticado execute código PHP arbitrário no servidor WordPress. Isso pode levar ao comprometimento completo do servidor, incluindo a exfiltração de dados confidenciais, a instalação de malware e a modificação do conteúdo do site. O impacto é severo, pois a execução de código arbitrário concede ao atacante controle total sobre o ambiente WordPress. A autenticação de nível de assinante, embora limitada, ainda representa um risco significativo, especialmente em sites com muitos usuários ou com permissões mal gerenciadas.

WordPress websites utilizing the Allow PHP in Posts and Pages plugin, particularly those with subscriber-level users who have access to create or edit posts and pages, are at significant risk. Shared hosting environments where plugin updates are not consistently managed are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'php shortcode' /var/www/html/wp-content/plugins/allow-php-in-posts-and-pages/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'allow-php-in-posts-and-pages'

• wordpress / composer / npm:

wp plugin update allow-php-in-posts-and-pages

1. 2023-09-16Disclosure

   disclosure

1. Reservado2023-09-15
2. Publicada2023-09-16
3. Modificada2025-02-05
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o plugin Allow PHP in Posts and Pages para a versão mais recente, que corrige a vulnerabilidade. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar o plugin ou remover a funcionalidade 'php' shortcode. Como medida adicional, implemente regras de firewall de aplicação web (WAF) para bloquear solicitações que contenham o shortcode 'php'. Monitore os logs do servidor WordPress em busca de atividades suspeitas relacionadas à execução de código PHP.