| Tipo de falha | O que permite ao atacante | Versão que corrige |
|---|---|---|
| Local File Inclusion (LFI) | Ler wp-config.php e roubar credenciais do banco sem login. | 4.1.5 (2014) e 6.6.13 |
| Upload arbitrário | Enviar shell PHP e assumir o controle total do site. | 6.6.13 |
| Cross-Site Scripting (XSS) | Injetar script no painel e sequestrar a sessão do admin. | 6.6.19 |
| Versão nulled (pirata) | Backdoor embutido e bloqueio de atualização automática. | nenhuma (substituir por licença oficial) |
Legenda: o alerta de versão desatualizada é o primeiro sinal de exposição a CVE conhecido.
--- ## Cves reais: Local file inclusion e upload arbitrário A falha mais grave é a Local File Inclusion do CVE-2014-9734, que lia o wp-config.php via o parâmetro `img` sem login. Já o CVE-2023-2359, com CVSS 8,8, afeta versões abaixo da 6.6.13 e abre upload arbitrário de arquivo. A relação causal é direta: Slider Revolution abaixo da 6.6.13 mais parâmetro sem sanitização mais servidor que expõe wp-content resulta em leitura do wp-config.php sem autenticação. Essas duas falhas representam o padrão das vulnerabilidades do Revolution Slider: exploráveis remotamente, sem usuário, e devastadoras com hospedagem mal isolada. A FULL é a única CNA brasileira sob a CISA desde maio de 2022 e atribui IDs CVE oficiais. Quem escreve sobre essas falhas aqui literalmente cataloga vulnerabilidade. Por isso a recomendação não é alarmista: o LFI de 2014 e o upload de 2023 já têm patch. O perigo mora em quem não atualizou o plugin. --- ## Por que o site segue vulnerável mesmo após o patch oficial Um patch de 2023 só protege quem consegue instalá-lo, e é aí que a versão nulled mata o site. Boa parte dos casos graves que chegam ao suporte vem de Slider Revolution pirata, que bloqueia a atualização automática e costuma trazer um backdoor embutido fora do canal oficial. A relação causal é cruel: Slider Revolution nulled mais atualização travada mais ausência de WAF cria uma janela permanente de exploit, porque o patch oficial nunca chega ao arquivo adulterado. O segundo motivo é o atraso humano: mesmo com licença válida, muitos adiam o update por medo de quebrar o layout. Sites que demoram semanas para corrigir tendem a aparecer em varreduras de bots em poucos dias. Atualizar o Slider Revolution na mesma janela do patch fecha a maioria das vulnerabilidades do Revolution Slider antes que um scanner hostil as encontre. Aprender a atualizar plugins do WordPress corretamente elimina o vetor mais comum. --- ## Como proteger o WordPress em 4 camadas de defesa Proteger contra as vulnerabilidades do Revolution Slider exige quatro camadas, porque nenhuma sozinha cobre todos os vetores. A primeira é o update: manter o Slider Revolution acima da 6.6.19 fecha o LFI, o upload e o XSS de uma vez. A segunda é o firewall de aplicação. Segundo o Cloudflare Radar, nos últimos 28 dias o WAF mitigou 16,4% dos ataques de camada de aplicação no Brasil, o que justifica ter um firewall WordPress ativo mesmo em sites pequenos. A terceira camada é a varredura contínua, que detecta versão vulnerável antes do invasor e mapeia as vulnerabilidades do Revolution Slider ainda abertas. A quarta é o backup isolado, sua rede de segurança se um exploit passar. O CVE é só o mapa; a defesa real combina patch, WAF, scanner e backup. Vale rodar uma auditoria completa de segurança no WordPress a cada trimestre. Para escolher a ferramenta certa, compare os plugins de segurança WordPress e veja as ferramentas que verificam vulnerabilidades do site. --- ## A camada de proteção da FULL contra plugins vulneráveis Cobrir as quatro camadas plugin a plugin sai caro quando você soma WAF, scanner e backup avulsos. O plano PRO da FULL custa R$849,90 e inclui 17 plugins premium, entre eles o All in One Security, que entrega firewall, hardening e bloqueio de força bruta numa camada só. Dividido pelos 10 sites do plano, dá R$85 por site. A gente vê no suporte da FULL que a maioria das invasões via plugin desatualizado começa por uma falha que já tinha patch há meses, então o ganho não é só preço: é ter a defesa ligada antes do exploit. Quem quer entender o produto sem comprar pode ver a página de solução do All in One Security ou conhecer todos os planos da FULL. Para escanear o site agora, sem instalar nada, use o FULL Scan e descubra se algum plugin está vulnerável. ---O Slider Revolution acumula 24 CVEs porque é um dos plugins mais usados do mundo, o que o torna alvo prioritário de pesquisadores e atacantes. Volume de CVE corrigido indica auditoria ativa, não abandono. O risco atual hoje é de apenas 1 falha sem patch, segundo o perfil público do WPVulnerability.
Sim. Manter o Slider Revolution acima da versão 6.6.19 fecha o LFI, o upload arbitrário e o XSS conhecidos. Some um firewall de aplicação e backup isolado e o plugin opera com risco residual baixo. O problema nunca foi o plugin em si, e sim a versão desatualizada ou pirata rodando sem WAF.
O histórico soma 24 CVEs ao longo dos anos, quase todos já corrigidos. O risco atual é o que está sem patch hoje: 1 falha, conforme o WPVulnerability. Tratar CVE antigo já fechado como ameaça presente gera alarme falso. O que importa é a versão instalada agora versus a versão que recebeu a correção.
O plano PRO da FULL sai por R$849,90 e inclui o All in One Security mais 16 plugins premium, cobrindo 10 sites. Isso dá R$85 por site, com firewall, scanner e hardening na mesma assinatura. Comprar WAF, backup e licença avulsos custaria bem mais por site isolado.
Local File Inclusion (LFI) é quando o plugin carrega um arquivo do servidor a partir de um parâmetro manipulável. No CVE-2014-9734, o parâmetro img do Slider Revolution permitia ler o wp-config.php sem login, expondo a senha do banco. A correção sanitiza o caminho e bloqueia acesso a arquivos fora da pasta do plugin.