WordPress Helloprint Plugin <= 2.0.7 - Vulnerabilidade de Exclusão Arbitrária de Arquivos

A exploração bem-sucedida desta vulnerabilidade permite que um atacante contorne as restrições de diretório e acesse arquivos arbitrários no servidor web. Isso pode levar à divulgação de informações confidenciais, como arquivos de configuração, chaves de API ou dados de usuários. Em cenários mais graves, um atacante pode até mesmo executar código remoto no servidor, comprometendo a integridade e a confidencialidade do sistema. A vulnerabilidade se assemelha a outros ataques de Path Traversal, onde a manipulação de caminhos de arquivo permite o acesso não autorizado.

WordPress sites utilizing the Helloprint plugin, particularly those with older versions (0.0.0–2.0.7), are at risk. Shared hosting environments where users have limited control over server configurations are especially vulnerable, as they may be unable to implement mitigation workarounds effectively. Sites with sensitive data stored on the same server as the WordPress installation face a higher risk of data exposure.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/helloprint/*

• generic web:

curl -I "http://your-wordpress-site.com/wp-content/plugins/helloprint/../../../../etc/passwd"

1. 2025-03-03Disclosure

   disclosure

1. Reservado2025-02-12
2. Publicada2025-03-03
3. Modificada2026-04-28
4. EPSS atualizado2026-04-02

A correção primária é atualizar o plugin Helloprint para a versão 2.0.8 ou superior. Se a atualização imediata não for possível, implemente medidas de mitigação, como regras de firewall de aplicação web (WAF) para bloquear solicitações que contenham caracteres de Path Traversal (por exemplo, '..'). Além disso, revise as permissões de arquivo para garantir que os arquivos sensíveis não sejam acessíveis publicamente. Monitore os logs do servidor em busca de tentativas de acesso não autorizado a arquivos.