Em 14 de agosto de 2023, a equipe do Wordfence Threat Intelligence iniciou um projeto de pesquisa para encontrar Stored Cross-Site Scripting (XSS) por meio de vulnerabilidades de Shortcode em plug-ins do WordPress. Esse tipo de vulnerabilidade permite que agentes de ameaças com permissões de nível de contribuidor ou superior injetem scripts maliciosos da web em páginas usando códigos de acesso de plug-ins, que serão executados sempre que uma vítima acessar a página injetada. Foram encontradas mais de 100 vulnerabilidades em 100 plug-ins que afetam mais de 6 milhões de sites. Se você tem um site em WordPress, convém verificar.
A lista apresentada pelo Wordfence pode ser vista neste link. Salientamos alguns plugins comumente usados:
- Tab Ultimate
- Reusable Text Blocks
- Font Awesome More Icons
- LiteSpeed Cache
- WordPress Charts
- EasyRotator for WordPress – Slider Plugin
- Leaflet Map
- Iframe
- Feeds for YouTube (YouTube video, channel, and gallery plugin)
- Instagram for WordPress
- Shortcode Menu
- Modal Window
- Super Testimonials
- WP Font Awesome
- Advanced Menu Widget
- Comments by Startbit
- Video Popup
- WP Responsive Header Image Slider
- WD Contact Form Builder
- WhatsApp Share Button
- Booster for WooCommerce
- Simple Shortcodes
- Font Awesome Integration
- Accordion
- Geo My WordPress
- Live Chat with Facebook Messenger
- JQuery Accordion Menu Widget
- WordPress Social Login
- MapPress Map for WordPress
- Google Maps Plugin by Intergeo
- Horizontal Scrolling Announcement
- Font Awesome for Menus
- Advanced iFrame
- Booster for WooCommerce
- CPO Shortcodes
- Very Simple Google Maps
- Contact Form by FormGet
- Professional Social Sharing Buttons, Icons & Related Posts – Shareaholic
Recomenda-se o uso de uma das funções de escape integradas do WordPress antes de gerar os dados do usuário. O WordPress possui uma série de funções que podem ser usadas em diferentes situações. Você pode ler mais sobre essas funções em:
https://developer.wordpress.org/apis/security/escaping/
Para tornar o shortcode seguro, funções de escape devem ser usadas. Isso evita que a entrada definida pelo usuário saia do atributo HTML de “classe” original, pois quaisquer aspas usadas para sair do atributo HTML serão desconsideradas. Isto, porém, só deve ser feito por um profissional experiente que domine a linguagem de programação PHP.
