WordPress WP e-Commerce Style Email plugin <= 0.6.2 - Vulnerabilidade de CSRF para Execução Remota de Código

A vulnerabilidade CSRF no WP e-Commerce Style Email permite que um atacante execute código malicioso no servidor WordPress sem a necessidade de autenticação. Um atacante pode criar uma requisição maliciosa que, quando executada por um usuário autenticado no site, injeta código arbitrário. Isso pode resultar no comprometimento completo do site, incluindo a exfiltração de dados sensíveis, a instalação de malware ou a modificação do conteúdo do site. A severidade CRÍTICA indica um alto risco de exploração e um impacto significativo no sistema afetado. A ausência de autenticação necessária para a exploração amplia o potencial de ataques em larga escala.

Websites utilizing the WP e-Commerce Style Email plugin, particularly those running older, unpatched versions (0.0.0 - 0.6.2), are at significant risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "wp_e_commerce_style_email" /var/www/html/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep wp-e-commerce-style-email

• wordpress / composer / npm:

wp plugin list --status=active | grep wp-e-commerce-style-email

• generic web: Check for unusual POST requests to plugin endpoints in access logs. • generic web: Monitor for unexpected file modifications in the plugin's directory.

1. 2025-03-24Disclosure

   disclosure

1. Reservado2025-03-24
2. Publicada2025-03-24
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin WP e-Commerce Style Email para a versão 0.6.3, que corrige a vulnerabilidade CSRF. Se a atualização imediata não for possível, implemente medidas de proteção CSRF adicionais, como a validação rigorosa de tokens CSRF em todas as requisições que modificam dados. Considere o uso de um Web Application Firewall (WAF) para bloquear requisições maliciosas. Monitore os logs do WordPress em busca de atividades suspeitas, como requisições inesperadas ou modificações não autorizadas. Após a atualização, confirme a correção verificando se as requisições que antes eram vulneráveis agora requerem a validação de tokens CSRF.