XSS no WordPress: como corrigir a vulnerabilidade

Tipo Seguranca

Nome do erro Vulnerabilidade XSS EN: XSS vulnerability (Cross-Site Scripting)

Severidade Crítico

Descrição Uma vulnerabilidade XSS (cross-site scripting) no WordPress permite que um invasor injete JavaScript malicioso nas suas páginas, que então roda no navegador de quem visita. Corrigir significa achar a entrada não sanitizada, escapar a saída e atualizar o plugin ou tema que abriu a brecha.

O que é a vulnerabilidade XSS no WordPress?

XSS (cross-site scripting) é uma falha em que dados controlados pelo atacante são exibidos numa página sem sanitização nem escape, fazendo o navegador da vítima executar um script injetado. No WordPress, costuma vir de um plugin ou tema que grava e mostra entradas de formulário, comentários ou parâmetros de URL sem tratar. O script roubado pode capturar cookies de sessão, redirecionar visitantes ou criar um admin oculto. Existem três tipos: refletido (via URL), armazenado (gravado no banco, o mais grave) e baseado em DOM. A correção real é tapar a entrada vulnerável, não só limpar o sintoma.

Como identificar

O scanner de segurança ou o WPScan aponta “Cross-Site Scripting (XSS)” em um plugin ou tema instalado.
Aparecem pop-ups inesperados ou redirecionamentos ao abrir uma página cujo parâmetro de URL carrega uma tag de script injetada.
Comentários, campos de perfil ou formulários executam uma tag de script em vez de mostrá-la como texto.
No console do navegador surgem scripts de domínios estranhos carregando junto com a sua página.

Antes de começar: Faça backup do banco antes de remover injeções gravadas. Apagar conteúdo de wp_posts ou wp_options às cegas pode quebrar o site; salve uma cópia para conseguir reverter se remover algo legítimo por engano.

Como prevenir

Escape toda saída de dado do usuário com esc_html(), esc_attr() ou esc_url() conforme o contexto
Mantenha plugins e temas atualizados e remova os abandonados sem correção de segurança
Use um WAF e uma Content-Security-Policy para bloquear scripts inline e de origens não autorizadas

Causa

Plugin ou tema que exibe entrada do usuário (comentário, formulário, parâmetro de URL) sem escapar a saída.
Uso de echo direto de $_GET ou $_POST no código sem passar por esc_html() ou esc_attr().
Plugin desatualizado com uma vulnerabilidade XSS conhecida e já catalogada (CVE/WPScan) ainda não corrigida.
Campo que aceita HTML sem filtrar por wp_kses(), permitindo a passagem de tags de script.
Falta de Content-Security-Policy, deixando o navegador executar scripts inline injetados.

Como resolver

Identifique a origem da falha: rode um scanner (WPScan ou plugin de segurança) para descobrir qual plugin/tema tem a vulnerabilidade XSS reportada e em qual versão ela foi corrigida.
Atualize o plugin ou tema vulnerável: na maioria dos casos a brecha já tem correção. Atualize para a versão que fecha o XSS; se o componente foi abandonado, substitua-o por uma alternativa mantida.
Sanitize a entrada e escape a saída no seu código: se a falha está em código próprio, limpe o dado ao receber e escape ao exibir. Nunca dê echo de entrada do usuário sem tratar.
Adicione um cabeçalho Content-Security-Policy: configure uma CSP que restrinja a execução de scripts inline e de origens externas, reduzindo o impacto de qualquer injeção que escape.
Limpe injeções já gravadas e troque as chaves: procure scripts salvos em posts, comentários e wp_options, remova-os, regenere as SALT keys do wp-config.php e troque as senhas de admin para invalidar sessões roubadas.

PHP

// Errado: exibe a entrada do usuario direto, abrindo XSS refletido
echo $_GET['nome'];

// Certo: escapa a saida conforme o contexto (texto, atributo, URL)
echo esc_html( $_GET['nome'] );                 // dentro de texto/HTML
echo '<input value="' . esc_attr( $_GET['nome'] ) . '">'; // dentro de atributo
echo '<a href="' . esc_url( $_GET['link'] ) . '">';      // dentro de href

// Para salvar conteudo que aceita HTML limitado, filtre com wp_kses
$permitido = array( 'a' => array( 'href' => array() ), 'strong' => array(), 'em' => array() );
$conteudo_seguro = wp_kses( $_POST['bio'], $permitido );
update_user_meta( $user_id, 'bio', $conteudo_seguro );

Perguntas frequentes

Qual a diferença entre XSS refletido e XSS armazenado?

No refletido, o script vem na URL e só afeta quem clica no link malicioso. No armazenado, o código fica salvo no banco (um comentário, por exemplo) e dispara para todo visitante da página. O armazenado é mais grave porque atinge qualquer um sem ação extra.

Um plugin de segurança corrige o XSS sozinho?

Ele detecta e pode bloquear tentativas via WAF, mas não conserta o código vulnerável. A correção real é atualizar o plugin/tema com a falha ou escapar a saída no seu próprio código. O firewall é uma camada de defesa, não a solução de raiz.

Como descubro qual plugin tem a vulnerabilidade XSS?

Rode o WPScan ou um scanner de segurança: ele cruza seus plugins com bancos de vulnerabilidades conhecidas e aponta o componente, a versão afetada e a versão que corrige. A partir daí, basta atualizar ou substituir.

Escapar a saída ou sanitizar a entrada: qual é o certo?

Os dois, mas escapar a saída é a defesa principal contra XSS. Sanitize ao gravar para guardar dado limpo, e escape ao exibir conforme o contexto (esc_html, esc_attr, esc_url). Escapar na saída garante que nada injetado vire script executável.

A Content-Security-Policy resolve o XSS por si só?

Não resolve, mas reduz muito o estrago. Uma CSP bem configurada impede o navegador de executar scripts inline e de origens não autorizadas, então mesmo que uma injeção passe, o script tende a não rodar. É uma camada extra sobre o escape correto.

Removi o plugin vulnerável mas o site ainda redireciona. E agora?

O XSS pode ter deixado scripts gravados no banco. Procure código injetado em posts, comentários e wp_options, remova-o, regenere as SALT keys e troque as senhas de admin. Sem limpar o que ficou salvo, o redirecionamento persiste mesmo sem o plugin.

Crítico

Como corrigir site WordPress na lista negra do Google

Um site WordPress na lista negra do Google é um site que a Navegação Segura (Safe Browsing) sinalizou como perigoso por conter malware ou conteúdo enganoso. O Chrome e a busca passam a exibir um aviso vermelho que afasta os visitantes, e só sair da lista exige limpar a infecção e pedir reanálise no Search Console.

Grave

Como proteger contra ataques de forca bruta no login do WordPress

Um ataque de forca bruta no WordPress tenta adivinhar usuário e senha enviando milhares de combinacoes ao wp-login.php. A proteção combina limitar tentativas, exigir senha forte com 2FA e bloquear ou esconder a página de login.

Crítico

Como corrigir This site ahead contains harmful programs no WordPress

O aviso harmful programs no WordPress ("This site ahead contains harmful programs") é a tela vermelha que o Chrome mostra quando a Navegação Segura do Google detecta malware no seu site. Ele afasta os visitantes e só some após limpar a infecção e pedir reanálise no Search Console.

Grave

Como corrigir permissões de arquivos e pastas no WordPress

Permissões de arquivos no WordPress definem quem pode ler, escrever e executar cada arquivo e pasta. Os valores corretos são 644 para arquivos, 755 para pastas e 600 para o wp-config.php; valores frouxos como 777 abrem o site para invasao.

Grave

Como corrigir o bloqueio de upload de arquivos entre o All In One Security e o WPForms no WordPress

O AIOS bloqueia upload no WPForms quando uma regra de firewall, o filtro de strings ou a proteção de arquivos PHP do All In One Security barra a requisicao POST do envio, fazendo o formulário retornar erro 403 ou falhar silenciosamente ao anexar o arquivo.

Grave

Como implementar 2FA no WordPress corretamente

Implementar 2FA no WordPress é exigir um segundo fator (um código temporário de app autenticador) além da senha no login. Mesmo que a senha vaze ou seja quebrada por força bruta, o invasor não entra sem o código, o que protege a tela de login, o ponto mais atacado do site.

Setores

Extensões

Integrações

Como corrigir vulnerabilidade XSS no WordPress

O que é a vulnerabilidade XSS no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir site WordPress na lista negra do Google

Como proteger contra ataques de forca bruta no login do WordPress

Como corrigir This site ahead contains harmful programs no WordPress

Como corrigir permissões de arquivos e pastas no WordPress

Como corrigir o bloqueio de upload de arquivos entre o All In One Security e o WPForms no WordPress

Como implementar 2FA no WordPress corretamente

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos