Vulnerabilidade histórica no WP Live Chat Support anterior à 8.0.27

Este aviso é histórico e não descreve uma vulnerabilidade atual de todas as versões do plugin.

A vulnerabilidade documentada pela Sucuri afetava versões do WP Live Chat Support anteriores à 8.0.27. Permitia alterar sem autenticação a opção wplc_custom_js e injetar JavaScript persistente, que podia ser usado para redirecionar visitas. Não deve ser confundida com a CVE-2019-14950, que descreve outro XSS do mesmo plugin através da página de RGPD.

Se encontrar uma versão afetada, preserve primeiro as evidências, coloque o site em manutenção e atualize ou reinstale o componente a partir de uma fonte oficial. Reveja a opção afetada e o resto da instalação, incluindo utilizadores, ficheiros, base de dados e registos.

Não atribua um redirecionamento a este plugin só por estar instalado: confirme a versão vulnerável e procure evidências compatíveis. Se o componente atual já não for o mesmo projeto ou não tiver manutenção fiável, prepare uma substituição e teste-a antes de o retirar.

Consulte também os conselhos de segurança para WordPress.

A versão 8.0.27 é citada como correção daquela falha de 2019, não como versão recomendada hoje. Não instale um pacote antigo para chegar a esse número. Identifique o projeto e a sua manutenção atuais antes de o atualizar ou substituir.

Se estiver a investigar uma cópia histórica, preserve o valor da opção e o seu contexto antes de o corrigir. Eliminar o JavaScript visível não exclui outras alterações nem resolve o acesso que permitiu introduzi-lo.