WPForms Lite acusado de adicionar backdoor. Eu testei e fiquei surpreso

Uma postagem no X postada por Sybre Waaijer (editora do plugin The SEO Framework) recentemente provocou um debate sobre o plugin WPForms Lite WordPress, alegando que ele instala um backdoor nos sites dos usuários. Alguns usuários do WordPress concordam que algo incomum pode estar acontecendo, enquanto outros não estão convencidos.

O Instituto Nacional de Padrões e Tecnologia (NIST) define um backdoor como:

“Uma forma não documentada de obter acesso ao sistema de computador. Um backdoor é um risco potencial à segurança.”

A alegação de que WPForms Lite insere um backdoor

Sybre Waaijer postou no X que uma atualização recente do WPForms Lite da Awesome Motive inseriu um backdoor no plugin.

A alegação é que o WPForms Lite contém um assistente de integração que orienta o usuário nas etapas de configuração. O assistente de configuração supostamente emite um token de uma hora que fornece aos criadores do plugin acesso administrativo ao site do usuário sem primeiro pedir permissão ao usuário ou informar que isso está acontecendo. De acordo com Waaijer, esse nível de acesso permite que o Awesome Motive faça coisas como instalar e ativar plug-ins.

Waaijer twittou:

“Syed Balkhi (Awesome Motive) colocou um backdoor no WPForms Lite há três semanas na versão 2.0.0. O plugin é executado em mais de 5 milhões de sites.

O arquivo: wpforms-lite/src/SetupWizard/Bridge.php.

O que faz:
Ele assume o controle do seu navegador e abre o aplicativo nos servidores do WPForms. Ele entrega ao aplicativo um token de login de uma hora para o seu site. O aplicativo deles pode então agir em seu nome em seu site.

O que eles podem fazer com isso:
Seu aplicativo pode instalar e ativar plug-ins. Ele também pode ativar um botão que inicia o envio de seus formulários para os servidores WPForms. O plugin nunca pergunta primeiro e nunca avisa.

Quando é executado:
Ele entra em ação automaticamente em uma nova instalação durante a configuração, apenas para administradores. Você não receberá um aviso. O token expira no final da configuração ou após uma hora.

O que eles podem instalar:
Treze plug-ins do WordPress dot org: WP Mail SMTP, WPConsent, Uncanny Automator, AIOSEO, Universally, Duplicator, Reviews Feed, OptinMonster, MonsterInsights, ActiveLayer. Estranhamente (provavelmente um bug), também Contact Form 7, Ninja Forms e Pirate Forms.

Eles também podem extrair complementos WPForms e WPForms Pro de seus próprios servidores. Esses servidores não são moderados e podem ser usados ​​para enviar códigos maliciosos – o que era de se esperar, dado seu histórico.”

Resistência da comunidade WordPress

Uma pessoa respondeu que Awesome Motive é um desenvolvedor de plugins confiável e que isso é algo que Waaijer deveria discutir em particular com eles.

@BuildInBits tuitou:

“A Awesome Motive tem vários plug-ins, e eles são plug-ins confiáveis. Durante uma década, eles souberam fazer o trabalho muito bem e já estão fazendo isso. Sua expressão é um pouco injusta para ir a público assim.”

O motivo incrível é um concorrente do Waaijer

A resposta de Waaijer ao @BuildInBitsse observou que Awesome Motive é um concorrente, pois ambos produzem um plugin de SEO. Awesome Motive publica o plugin All In One SEO (AIOSEO) que compete diretamente com o The SEO Framework de Waaijer.

Resposta de Waaijer:

“Eles construíram deliberadamente um segundo canal de poder administrativo e vestiram o arquivo .org como código aberto, enquanto a sessão real e os URLs do pacote ficam ao seu lado.

Por mais de uma década, o WPBeginner tem sido o rosto amigável dessa máquina – tutoriais que sempre terminam em sua própria pilha. Não é um blog. Um funil.

Durante anos, eles instalaram seus plug-ins e desativaram os de seus concorrentes, incluindo o meu. Eu não os respeito; eles ganharam isso.

É realmente uma porta dos fundos?

Um backdoor é um código que concede acesso contornando as verificações normais de autenticação e autorização de um site, geralmente sem o conhecimento do proprietário do site, ou como o NIST descreve, é uma “maneira não documentada de obter acesso ao sistema de computador”.

O usuário X @marckranat desafiou a caracterização backdoor de Waaijer da funcionalidade de integração do plugin.

Eles escreveram:

“”Backdoor” está fazendo muito trabalho retórico aqui. Não é no sentido convencional. Não há caminho de acesso iniciado pelo fornecedor, nenhum desvio de autenticação e nenhum ouvinte oculto. Ele requer um administrador conectado para realmente acionar o assistente.”

@marckranat afirma que o fornecedor, Awesome Motive, provavelmente não pode iniciar de forma independente o acesso a um site que instala o plug-in. Não é isso que acontece quando um usuário instala um plugin.

Instalei o WPForms Lite. Isso é o que aconteceu

Já utilizo o plugin WPForms Lite em um dos meus sites e resolvi testá-lo em outro. Eu instalei e foi apresentada uma tela do assistente de configuração. Não me lembro de clicar na tela. Talvez isso tenha acontecido, mas não me lembro de ter acontecido.

Captura de tela da página Bem-vindo ao WPForms:

Agora, o problema é o seguinte: pensei que ainda estava no meu site. Mas eu já estava em outro site.

Captura de tela do URL da tela de boas-vindas

Esta é a próxima tela:

Captura de tela do assistente de configuração

Na verdade, cliquei em Instalar e Continuar, acho que não estava prestando atenção, pois pensei que isso fazia parte do processo de instalação. Isso é por minha conta, certo?

Captura de tela da tela Selecione seus recursos

A captura de tela mostra que as caixas “AI Form Generation” e “Privacy Compliance” estão marcadas para instalação e não podem ser desativadas. A caixa “Aceitar pagamentos” pode ser desativada. Na parte inferior da tela há um aviso de que o plugin gratuito “WPConsent” será instalado, também não há como cancelar isso.

A última tela do assistente de configuração

Captura de tela mostrando três plug-ins instalados

Como você pode ver, WP Mail SMTP, WPConsent e WPForms Lite foram todos instalados. Na maioria dessas telas eu não tinha ideia de que não estava mais no meu site. Não me lembro de ter visto nenhuma notificação de que iria sair do meu site. Desinstalei o plugin e tentei reproduzir o mesmo fluxo de trabalho, mas isso não aconteceu novamente.

Conclusões

WPForms Lite faz parece enviar novos usuários para fora do site para configuração de uma forma que eu nem percebi que estava em outro site. Uma vez no assistente de configuração, você será obrigado a instalar dois plug-ins adicionais porque não será possível desmarcar as caixas.

Sybre Waaijer diz que o plugin descarta um token que expira em uma hora que permite ao WPForms Lite fazer alterações no site, provavelmente para importar dados de outros formulários de contato e também para instalar esses outros plugins. Esse não é um propósito malicioso, é razoável e bastante comum com plug-ins. Mas foi estranho acabar em outro site sem nem saber.

Ainda assim, é normal que o assistente de configuração de um plugin leve o usuário para outro site? O que você tem a dizer?

Imagem em destaque de Shutterstock/Luis Molinero