Hackeando o aLinks

No dia de ontem alguns clientes da PortoFácil (e de outros serviços de hospedagem também) enfrentaram certa dificuldade ao tentarem entrar no painel de administração de seus blogs em WordPress, embora a velocidade de exibição das páginas aos leitores estivesse normal. Após alguma investigação de usuários da comunidade, descobriu-se o meliante: o plugin aLinks, responsável por transformar automaticamente em links qualquer texto previamente escolhido. Basicamente, o plugin é utilizado para criar links patrocinados para programas de afiliados (para mais detalhes veja tudo sobre aLinks no Lucrando na Rede).

Cogitou-se a possibilidade de código malicioso, mas eu próprio — e não fui o único — vasculhei o código inteiro e não encontrei nada de errado. Porém, alguém falou que o problema era mesmo sério, e o próprio site oficial do aLinks estava indisponível ontem, no mesmo horário do problema generalizado. Com essa informação parti para outra análise do código, desta vez em busca de requisições HTTP que o plugin pudesse fazer.

Descobri, então, o que já sabia: não há código malicioso no aLinks. A única requisição HTTP que ele faz é, durante a inicialização da “dashboard” do WordPress, em busca da identificação da mais nova versão disponível para download. Como o plugin tentava uma requisição junto a um site que estava indisponível, ele “travava” o WordPress inteiro.

Pessoalmente, não vejo motivo para pânico ou preocupação. Qualquer servidor está sujeito a downtimes, mais ou menos longos, e já faz muito tempo que uso o aLinks, e foi a primeira vez que presenciei alguma reclamação contra ele.

Mas se você, assim como muitos blogueiros com quem tenho conversado, quiser desativar esta verificação deve abrir o arquivo aLinksNotices.php que está dentro do diretório classes do diretório alinks do diretório de plugins do seu WordPress, e fazer uma pequena modificação. Localize no arquivo o trecho que começa com:

function checkVersion() {
if (!is_admin()) {
return;
}


Se você não modificou nada do código do plugin, e está usando a versão 1.0RC1, este trecho será lá pela linha 59.

Insira uma linha logo após a abertura da função simplesmente contendo “return;”. O código ficará assim:

function checkVersion() {
return;
if (!is_admin()) {
return;
}


É claro que estamos falando de uma gambiarra, mas vai desabilitar totalmente a verificação de novas versões. Em outras palavras, a única requisição HTTP que o plugin faz, deixará de ser feita, e se você estava paranóico por causa dela, agora poderá descansar.

Mas reitero que acho esse um cuidado extremo e desnecessário.