Stopwords for comments <= 1.1 - Falta de Autorização para Cross-Site Request Forgery

Um atacante pode explorar essa vulnerabilidade CSRF para adicionar ou remover stopwords do plugin Stopwords for comments sem a necessidade de autenticação. Isso pode levar a alterações indesejadas no comportamento do plugin, potencialmente afetando a filtragem de comentários e a qualidade do conteúdo do site. O atacante precisaria enganar um administrador do site para clicar em um link malicioso que execute a ação de modificação. A exploração bem-sucedida pode comprometer a integridade do site e a experiência do usuário, embora não conceda acesso direto ao servidor ou aos dados do usuário.

WordPress sites utilizing the Stopwords for comments plugin, particularly those with shared hosting environments where plugin updates may be delayed, are at risk. Sites with less stringent administrator access controls are also more vulnerable to exploitation.

• wordpress / composer / npm:

grep -r 'set_stopwords_for_comments' /var/www/html/wp-content/plugins/stopwords-for-comments/

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=set_stopwords_for_comments | grep -i '200 ok'

1. 2026-01-14Disclosure

   disclosure

1. Reservado2025-12-30
2. Publicada2026-01-14
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin Stopwords for comments para a versão mais recente, que corrige a vulnerabilidade CSRF. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a utilização de um Web Application Firewall (WAF) com regras para bloquear solicitações CSRF. Além disso, revise as permissões de usuário no WordPress para garantir que apenas administradores tenham acesso às funções de configuração do plugin. Monitore os logs do WordPress em busca de atividades suspeitas, como solicitações não autorizadas para as funções 'setstopwordsforcomments' e 'deletestopwordsforcomments'.