Vulnerabilidades em plugins do Wordpress afetam plataformas de e-learning

A Check Point publicou uma pesquisa esta semana envolvendo três plugins populares do WordPress: o LearnPress, o LearnDash e o LifterLMS. São sistemas de gerenciamento de aprendizagem (LMS) amplamente usados para fins educacionais, com um aumento no uso devido à maior adoção de ensino à distância (e-learning) diante da pandemia do novo coronavírus (COVID-19). Foram encontradas quatro vulnerabilidades nos plugins – CVE-2020-6008, CVE-2020-6009, CVE-2020-6010 e CVE-2020-6011 – que variavam de escalonamento de privilégios a execução remota de código.

Segundo o ZDNet, as plataformas LMS podem ser usadas para gerenciar cursos on-line, gratuitos e pagos, hospedar recursos dos alunos, atribuir tarefas de emissão e marcação e facilitar a discussão entre os alunos. Já o LearnPress, desenvolvido pela ThimPress, é um plugin para criar e publicar cursos com mais de 80 mil, enquanto o LearnDash é outra ferramenta de criação de cursos LMS usada por universidades e empresas da Fortune 500, totalizando aproximadamente 33 mil sites no total, e o LifterLMS é um plugin de criação de sites de cursos e associações com pelo menos 10 mil instalações ativas.

Estudantes ou atacantes não autenticados remotos podem explorar as falhas de segurança para roubar plataformas de e-learning, dados confidenciais, alterar notas, alterar tarefas, violar atribuições, falsificar certificados e potencialmente desviar dinheiro das plataformas LMS, que oferecem cursos pagos. Os fornecedores foram contatados pela Check Point e versões atualizadas e corrigidas foram lançadas desde então. Portanto, é possível fazer a atualização e garantir que os plugins estejam atualizados para permanecerem protegidos.