Yoco Payments <= 3.9.0 - Leitura Arbitrária de Arquivos Sem Autenticação

Um atacante pode explorar essa vulnerabilidade para ler arquivos arbitrários no servidor onde o plugin Yoco Payments está instalado. Isso inclui arquivos de configuração, arquivos de log e até mesmo arquivos de código fonte, que podem conter credenciais de banco de dados, chaves de API ou outras informações sensíveis. O impacto pode ser significativo, levando à exposição de dados confidenciais, comprometimento do servidor e possível acesso não autorizado a outros sistemas. A ausência de autenticação necessária para explorar a vulnerabilidade aumenta o risco, tornando-a acessível a qualquer pessoa com acesso à internet.

Websites using the Yoco Payments plugin, particularly those running older versions (0.0.0 - 3.9.0), are at risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit this vulnerability to gain access to files on other websites hosted on the same server.

• wordpress / composer / npm:

grep -r 'file=([^&]+)' /var/www/html/wp-content/plugins/yoco-payments/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/yoco-payments/../../../../etc/passwd'

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-11-30
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin Yoco Payments para a versão 3.9.1 ou superior, que corrige a vulnerabilidade de Path Traversal. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório do plugin através de permissões de arquivo e diretório. Além disso, monitore os logs do servidor em busca de tentativas de acesso não autorizado a arquivos. Implementar um Web Application Firewall (WAF) com regras para bloquear solicitações com parâmetros de caminho suspeitos também pode ajudar a mitigar o risco.

Instalações ativas

10KNicho

Avaliação do plugin