Uma falha grave, identificada como CVE-2024-10470, foi descoberta no tema premium WPLMS para WordPress, amplamente utilizado para gerenciamento de cursos online. O pesquisador de segurança István Márton, da Wordfence, alertou que essa falha de Leitura e Exclusão Arbitrária de Arquivos representa um alto risco de segurança, com uma pontuação CVSS de 9,8.

Essa vulnerabilidade permite que atacantes não autenticados leiam e excluam arquivos sensíveis, incluindo o crítico arquivo wp-config.php, que contém informações essenciais para o funcionamento do site. Com mais de 28.000 instalações, o WPLMS é um tema rico em recursos, projetado para suportar cursos, quizzes e certificações em plataformas de e-learning.

A análise de Márton revelou uma falha significativa no código, que permite que atores maliciosos explorem o arquivo “envato-setup-export.php”. Segundo o pesquisador, o código não inclui uma verificação de capacidade, e nada impede o acesso direto ao arquivo, tornando a vulnerabilidade explorável mesmo que o tema esteja apenas instalado, sem estar ativo.

Essa vulnerabilidade não só permite acesso e exclusão não autorizados de arquivos, mas também abre uma porta para que os invasores assumam o controle completo do site. Ao excluir o arquivo wp-config.php, o site vulnerável entra em modo de configuração, permitindo que o invasor conecte o site a um banco de dados sob seu controle. Com isso, dados de usuários e conteúdos do site ficam seriamente comprometidos.

A Wordfence recomenda que todos os usuários do WPLMS atualizem imediatamente seus sites para a versão mais recente, que, segundo a empresa, é a 4.963, corrigindo a falha de segurança.