Recomenda-se que os administradores de sites que usam o WP Live Chat Support para WordPress atualizem o plug-in para a versão mais recente para corrigir a vulnerabilidade em scripts (XSS) que são exploradas sem necessidade de autenticação.

Instalado em mais de 60.000 sites, o plug-in é apresentado como uma alternativa gratuita na solução de bate-papo com o cliente.

O perigo de ataques automáticos

Pesquisadores da Sucuri descobriram que versões do plug-in anteriores a 8.0.27 são suscetíveis a problemas XSS persistentes que podem ser explorados remotamente por um hacker que não possui uma conta no site afetado.

Os hackers podem automatizar seus ataques e cobrir mais vítimas, sem precisar se autenticar no site de destino.

É um problema muito sério, pois permite que o hacker coloque códigos maliciosos em sites ou aplicativos da web, e então compromete as contas dos visitantes ou as compartilha em páginas modificadas.

O XSS pode ser persistente se um código mal-intencionado for adicionado a uma seção armazenada no servidor, por exemplo, comentários do usuário. Quando um usuário carrega a página infectada, o código malicioso é verificado pelo navegador e as instruções do invasor são executadas.

Os detalhes da Sucuri elucidam como a exploração desta vulnerabilidade pode ser causada pelo “admin_init hook” desprotegido - um vetor de ataque comum para plugins do WordPress.

Os pesquisadores dizem que a função wplc_head_basic não usou os controles de autorização apropriados para atualizar as configurações do plug-in.

"Como o "admin_init" pode se chamado acessando /wp-admin/admin-post.php ou /wp-admin/admin-ajax.php, um invasor não autenticado pode usar esses endpoints para obter a atualização "wplc_custom_js" arbitrariamente", explicou um expecialista da Sucuri

O conteúdo da opção está incluído em todas as páginas que carregam suporte ao chat ao vivo, para que os hackers que acessam um site vulnerável possam inserir código JavaScript em várias páginas.

A Sucuri informou os desenvolvedores do plug-in e uma versão corrigida foi lançada na quarta-feira.