Falha Crítica no TI WooCommerce Wishlist Ameaça 100.000 Sites WordPress

2,8K

Se você utiliza WordPress, fique atento! A falha no TI WooCommerce Wishlist coloca mais de 100.000 sites em risco, permitindo ataques cibernéticos e comprometendo a segurança da loja online.

Essa (falha) vulnerabilidade no TI WooCommerce Wishlist permite que invasores explorem falhas de segurança para obter acesso indevido ao site.

🔍 O que é o TI WooCommerce Wishlist?

Esse plugin permite que clientes salvem produtos em listas de desejos e compartilhem-nas em redes sociais. No entanto, pesquisadores da Patchstack identificaram uma falha grave que permite que atacantes não autenticados enviem arquivos maliciosos diretamente ao servidor.

🔍 O que está acontecendo? Que Falha é essa no WooCommerce?

A vulnerabilidade CVE-2025-47577 possibilita que invasores enviem arquivos maliciosos ao servidor. O problema está na função tinvwl_upload_file_wc_fields_factory, que desativa parâmetros de segurança essenciais e permite o envio de scripts PHP maliciosos.

Se o plugin WC Fields Factory estiver instalado e ativado, um invasor pode enviar um arquivo PHP e executar comandos remotamente, obtendo controle total do site.

⚠️ Detalhes da vulnerabilidade

A função tinvwl_upload_file_wc_fields_factory utiliza wp_handle_upload() para validar arquivos. Porém, dois parâmetros de segurança (test_type e test_form) estão desativados, permitindo que qualquer tipo de arquivo seja enviado, incluindo scripts PHP maliciosos.

🛠️ Condições para exploração

O ataque ocorre se o plugin WC Fields Factory estiver instalado e integrado ao TI WooCommerce Wishlist. Com essa configuração, um invasor pode enviar arquivos maliciosos e acessá-los diretamente, executando comandos no servidor.

🚨 Impactos da Vulnerabilidade

• Controle total do site – invasores podem alterar, excluir ou acessar arquivos críticos.
• Roubo de dados sensíveis – informações de usuários e clientes podem ser comprometidas.
• Problemas no SEO – sites infectados podem perder posicionamento no Google.

🚨 O que fazer agora?

Como não há correção oficial, a melhor alternativa é remover imediatamente o plugin para evitar ataques. Além disso, siga boas práticas de segurança:

1. ✅ Monitore plugins instalados e remova os desnecessários.
2. ✅ Realize auditorias regulares para identificar falhas.
3. ✅ Mantenha WordPress e plugins sempre atualizados.
4. ✅ Utilize apenas plugins de fontes confiáveis.

🔗 Para mais informações, leia os relatórios completos:
👉 The Hacker News
👉 Patchstack

Fique atento e proteja seu site!