WP Cerber Security 9.10

English version: WP Cerber Security 9.10

Nesta versão, reforçamos a autenticação de dois fatores contra tentativas repetidas, corrigimos uma falha na proteção de dados do usuário na API REST e aprimoramos o tratamento de dados não confiáveis nas telas de administração do WP Cerber. Também corrigimos a exibição de erros durante a exportação e exclusão de dados pessoais em conformidade com o GDPR, para que falhas no banco de dados do Registro de Atividades não sejam mais confundidas com resultados vazios.

Principais destaques

Proteção 2FA reforçada. O WP Cerber agora limita solicitações repetidas de autenticação 2FA e tentativas incorretas de PIN por conta. Exceder esses limites bloqueia temporariamente novos logins e alerta o proprietário da conta.

Restrições mais consistentes para a API REST. A configuração que bloqueia o acesso aos dados do usuário do WordPress agora abrange variações adicionais de requisições tratadas pelo WordPress.

Telas de administração mais seguras. O aprimoramento na forma como os caracteres de saída são tratados corrige uma vulnerabilidade XSS armazenada que envolvia dados não confiáveis exibidos nas telas de administração do WP Cerber.

Resultados precisos em conformidade com o RGPD. A exportação e a eliminação de dados pessoais agora reportam erros de leitura no Registo de Atividades, em vez de indicarem incorretamente sucesso.

Alterações de segurança

A autenticação de dois fatores adiciona uma importante camada de proteção quando a senha de uma conta é comprometida. Esta versão introduz limites por conta para desafios de autenticação de dois fatores e tentativas incorretas de PIN, tornando as tentativas repetidas de adivinhar um PIN consideravelmente mais difíceis.

A proteção atualizada inclui diversas alterações:

Limites por conta. O WP Cerber restringe a frequência com que novos desafios de autenticação de dois fatores (2FA) podem ser solicitados e o número de tentativas incorretas de PIN permitidas.

Bloqueio temporário de contas. Quando os limites são excedidos, o WP Cerber bloqueia novos acessos à conta afetada por 24 horas e notifica o proprietário da conta sobre uma possível violação de senha.

Aplicação consistente. As restrições se aplicam a todos os métodos de login suportados, não apenas ao formulário de login padrão do WordPress.

As sessões existentes permanecem válidas. O bloqueio de uma conta não interrompe as sessões que já estão autenticadas.

Tratamento de erros mais seguro. Se ocorrer um erro crítico de segurança durante a verificação de dois fatores (2FA), o WP Cerber nega o login em vez de permitir que ele continue sem a autenticação de dois fatores.

Relatórios do Log de Atividades. Os eventos de bloqueio de conta são registrados no Log de Atividades, auxiliando os administradores na investigação de atividades de login suspeitas.

Alterar a senha de uma conta não remove um bloqueio ativo. Administradores que verificaram a segurança de uma conta podem restaurar o acesso anteriormente usando o WP-CLI.

Esta é a primeira etapa do nosso trabalho nessas medidas de segurança. Melhorias adicionais no tratamento do desafio de autenticação de dois fatores estão planejadas.

Proteção de dados do usuário via API REST aprimorada

A configuração “Bloquear acesso aos dados dos usuários via API REST” ajuda a impedir o acesso público às informações do usuário do WordPress.

Identificamos e corrigimos uma inconsistência entre a forma como o WP Cerber verificava determinadas solicitações da API REST e como o WordPress as processava. Em determinadas condições, isso poderia permitir que as solicitações contornassem as restrições pretendidas.

O WP Cerber agora aplica a proteção de forma mais consistente em todos os formatos de requisição de API REST suportados. Também aprimoramos a cobertura para rotas relacionadas a senhas de aplicativos.

A configuração atual continua funcionando como antes, com as proteções adicionais aplicadas automaticamente quando ativadas. Nenhuma alteração de configuração é necessária.

Proteção aprimorada contra XSS armazenado em telas administrativas.

O WP Cerber exibe informações de fontes externas em diversas partes de sua interface administrativa. Esses dados devem ser tratados como não confiáveis, mesmo quando aparentam conter texto comum.

Corrigimos a forma como determinados valores fornecidos externamente são processados e exibidos, solucionando uma vulnerabilidade de cross-site scripting (XSS) armazenada nas visualizações administrativas afetadas.

O tratamento atualizado aplica o escape de saída adequado para que valores não confiáveis sejam renderizados como texto em vez de interpretados como conteúdo executável. As alterações abrangem as telas relevantes do painel do WP Cerber e as interfaces do Cerber.Hub.

Os valores previamente armazenados em cache são tratados com segurança após a atualização. Nenhuma alteração de configuração adicional é necessária.

Experiência de administrador

Rótulo do evento de bloqueio de conta mais claro. O evento no Registro de Atividades “Conta temporariamente bloqueada” agora exibe “Conta temporariamente bloqueada”. A nova redação descreve um evento registrado, em vez de sugerir que a conta ainda está bloqueada.

Diagnóstico aprimorado no resumo do usuário. O WP Cerber agora registra falhas na recuperação dos registros do último login e dos detalhes de ativação do BuddyPress, facilitando a identificação do motivo pelo qual determinadas informações estão faltando no resumo do usuário.

A exportação e eliminação de acordo com o RGPD agora reportam erros no Registo de Atividades corretamente.

Quando uma consulta ao banco de dados do Registro de Atividades falhava, o WP Cerber podia interpretar o resultado como um registro vazio em vez de um erro de banco de dados. Durante a exportação e exclusão de dados pessoais em conformidade com o GDPR, isso poderia levar a resultados enganosos.

Atualizamos a interface do Log de Atividades para distinguir falhas de banco de dados de resultados vazios legítimos.

A exportação de dados pessoais agora reporta erros de leitura do Log de Atividades, em vez de indicar incorretamente que nenhuma atividade foi registrada ou encerrar a exportação prematuramente.

A exclusão de dados pessoais deixa de ser reportada como concluída com sucesso quando um erro no banco de dados do Log de Atividades impede o WP Cerber de verificar se os registros relevantes foram removidos.

Para proprietários de sites que lidam com solicitações de privacidade, essa distinção é importante. Um resultado vazio e uma consulta de banco de dados com falha não são a mesma coisa, e o WP Cerber agora os reporta adequadamente.

Compatibilidade testada

Esta versão foi testada com PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 e 8.5.9, e com WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 e 7.1.

Correções de erros

Os rótulos BLOQUEADO e PROIBIDO foram restaurados na página de Usuários. Alterações na marcação da coluna de nome de usuário no WordPress fizeram com que nossas regras CSS parassem de funcionar. Os rótulos de status e o destaque em vermelho dos nomes de usuário afetados agora são exibidos corretamente novamente.

Requisições malformadas à API REST não causam mais erros HTTP 500. O WP Cerber agora lida com formatos de parâmetros inesperados na API REST sem gerar um erro PHP não tratado. Essas requisições são encaminhadas ao WordPress para processamento normal, sem expor os dados do usuário.