Uma falha de segurança crítica no tema Bricks para WordPress está sendo ativamente explorada por atores de ameaças para executar código PHP arbitrário em instalações suscetíveis.

A falha, rastreada como CVE-2024-25600 com uma pontuação CVSS de 9.8, permite que atacantes não autenticados realizem execução remota de código.

Ela afeta todas as versões do Bricks até a versão 1.9.6. Os desenvolvedores do tema abordaram a vulnerabilidade na versão 1.9.6.1, lançada em 13 de fevereiro de 2024, poucos dias após o provedor de segurança do WordPress, Snicco, relatar a falha em 10 de fevereiro.

Especificamente, a vulnerabilidade está relacionada ao uso de tokens de segurança chamados “nonces” para verificar permissões, que podem ser usados para passar comandos arbitrários para execução, permitindo efetivamente que um ator de ameaça assuma o controle de um site alvo.

O Bricks tem cerca de 25.000 instalações ativas atualmente. Recomenda-se que os usuários do plugin apliquem os patches mais recentes para mitigar ameaças potenciais. A empresa de segurança do WordPress, Wordfence, disse que detectou mais de três dezenas de tentativas de ataque explorando a falha até 19 de fevereiro de 2024. As tentativas de exploração teriam começado em 14 de fevereiro, um dia após a divulgação pública.