Tausende WordPress-Sites von Plugin-Schwachstelle betroffen
In einem weiteren WordPress-Template wurde eine neue schwerwiegende Schwachstelle entdeckt. Der Fehler ermöglicht Code-Injection auf den Seiten, auf denen das Plugin ausgeführt wird, sowie Phishing durch Cross-Site-Scripting.
Es scheint, dass kein Monat vergehen kann, ohne dass eine neue WordPress-Plugin-Schwachstelle auftaucht. Januar ist keine Ausnahme von dieser Regel, mit der brandneuen Schwachstelle, die von Forschern in WP HTML Mail entdeckt wurde – einem WordPress-Plugin, mit dem Benutzer benutzerdefinierte E-Mail-Vorlagen entwerfen können.
Schwachstelle ermöglicht Code-Injektion
Die Schwachstelle wurde unter der Bezeichnung CVE-2022-0218 kodifiziert und wurde ursprünglich von Chloe Chamberlain, einer Forscherin bei Wordfence, entdeckt. Der dem Fehler zugewiesene CVSS-Score beträgt 8,3, was ihn weit in den Bereich „hoher Schweregrad“ einordnet.
Der Fehler des WP-HTML-Mail-Plugins liegt in seiner schlechten Handhabung von REST-API-Routen, die vom Mail-Template-Plugin verwendet werden. Laut Chamberlain enthält das Plugin keinen Authentifizierungsschritt für den Zugriff auf den REST-API-Endpunkt. Dies würde einem potenziellen Angreifer freien Zugriff auf die Themen der E-Mail-Vorlage ermöglichen, einschließlich der Möglichkeit, schädliches JS einzufügen, das ausgeführt wird, wenn der legitime Administrator die Seite des E-Mail-Editors öffnet.
Das Ausmaß des Zugriffs, den die Schwachstelle zulässt, ist etwas beängstigend. Ein potenzieller Hacker könnte Backdoor-Code einschleusen, neue Benutzer mit Administratorrechten erstellen, Seitenumleitungen einrichten und sogar zuvor erstellte, legitime E-Mail-Vorlagen verwenden, um Phishing-E-Mails unter Verwendung des Website-Brandings und -Namens des Opfers zu versenden.
Tausende Websites müssen aktualisiert werden
Der Sicherheitsbericht zum Plugin-Fehler erwähnt, dass das WP HTML Mail-Plugin mit anderen sehr beliebten Plugins kompatibel ist, darunter WooCommerce und Ninja Forms. Schätzungen zufolge ist das anfällige Plugin auf rund 20.000 Websites installiert.
Den Eigentümern all dieser Seiten wird empfohlen, sofort sicherzustellen, dass sie die neueste, aktualisierte Version von WP HTML Mail ausführen, in der die Schwachstelle behoben ist. Zum Zeitpunkt des Schreibens ist diese Version 3.1.
