Miles de sitios de WordPress afectados por la vulnerabilidad del complemento

Se ha descubierto una nueva vulnerabilidad grave en otra plantilla de WordPress. La falla permite la inyección de código en las páginas que ejecutan el complemento, así como el phishing a través de secuencias de comandos entre sitios.

Parece que no puede pasar un solo mes sin que aparezca una nueva vulnerabilidad de complemento de WordPress. Enero no es una excepción a esa regla, con la nueva vulnerabilidad descubierta por los investigadores en WP HTML Mail, un complemento de WordPress que permite a los usuarios diseñar plantillas de correo electrónico personalizadas.

Vulnerabilidad permite inyección de código

La vulnerabilidad ha sido codificada bajo el designador CVE-2022-0218 y fue descubierta originalmente por Chloe Chamberlain, investigadora de Wordfence. El puntaje CVSS asignado a la falla es 8.3, lo que lo ubica dentro del territorio de "gravedad alta".

La falla con el complemento WP HTML Mail radica en su manejo deficiente de las rutas REST-API utilizadas por el complemento de plantilla de correo. El complemento no incluye un paso de autenticación para acceder al punto final REST-API, según Chamberlain. Esto permitiría a un posible atacante acceder libremente a los temas de la plantilla de correo electrónico, incluida la capacidad de inyectar JS malicioso que se ejecutaría cuando el administrador legítimo abra la página del editor de correo.

El grado de acceso que permite la vulnerabilidad es un poco aterrador. Un pirata informático potencial podría inyectar código de puerta trasera, crear nuevos usuarios con privilegios de administrador, configurar redireccionamientos de página e incluso usar plantillas de correo electrónico legítimas creadas previamente para enviar correos electrónicos de phishing utilizando la marca y el nombre del sitio de la víctima.

Miles de sitios web necesitan actualizarse

El informe de seguridad sobre la falla del complemento menciona que el complemento WP HTML Mail es compatible con otros complementos muy populares, incluidos WooCommerce y Ninja Forms. Según estimaciones, el complemento vulnerable está instalado en aproximadamente 20 mil sitios web.

Se recomienda a los propietarios de todas esas páginas que se aseguren de inmediato de que están ejecutando la versión más reciente y actualizada de WP HTML Mail, que tiene la vulnerabilidad reparada. Al momento de escribir, esta versión es 3.1.