Echo RSS Feed Post Generator <= 5.4.6 - Escalada de Privilégios Não Autenticada

A exploração bem-sucedida desta vulnerabilidade permite que um atacante obtenha acesso não autorizado ao painel de administração do WordPress, com privilégios de administrador. Isso concede controle total sobre o site, incluindo a capacidade de modificar conteúdo, instalar plugins maliciosos, criar contas de usuário adicionais e até mesmo comprometer dados sensíveis armazenados no banco de dados. O impacto é severo, pois um atacante pode efetivamente assumir o controle completo do site WordPress. A ausência de restrições de roles durante o registro é a causa raiz, permitindo que um usuário mal-intencionado contorne os mecanismos de autenticação padrão.

WordPress websites using the Echo RSS Feed Post Generator plugin, particularly those running versions 5.4.6 or earlier, are at significant risk. Shared hosting environments where multiple WordPress installations share the same server are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others. Websites with weak password policies or those that haven't implemented multi-factor authentication are also at increased risk.

• wordpress / composer / npm:

wp plugin list | grep 'Echo RSS Feed Post Generator'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status | grep 'Echo RSS Feed Post Generator'

• wordpress / composer / npm:

wp plugin version 'Echo RSS Feed Post Generator'

1. 2024-10-01Disclosure

   disclosure

1. Reservado2024-09-26
2. Publicada2024-10-01
3. EPSS atualizado2026-04-02

A mitigação primária é atualizar o plugin Echo RSS Feed Post Generator para a versão mais recente (superior a 5.4.6). Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar temporariamente o plugin ou restringir o acesso ao registro de usuários através de um firewall de aplicação web (WAF) ou regras de proxy que impeçam o registro de novos usuários. Monitore os logs de acesso do WordPress em busca de tentativas de registro suspeitas. Implemente autenticação de dois fatores (2FA) para todas as contas de administrador para adicionar uma camada extra de segurança, mesmo que a vulnerabilidade seja explorada.