A beépülő modulok sebezhetősége által érintett WordPress webhelyek ezrei

Új, súlyos sebezhetőséget fedeztek fel egy újabb WordPress-sablonban. A hiba lehetővé teszi a kód beillesztését a bővítményt futtató oldalakra, valamint az adathalászatot a webhelyek közötti szkripteken keresztül.

Úgy tűnik, egyetlen hónap sem telhet el anélkül, hogy ne bukkanna fel egy új WordPress bővítmény sebezhetősége. Ez alól a szabály alól a január sem kivétel, a kutatók a vadonatúj biztonsági rést fedezték fel a WP HTML Mailben – egy WordPress beépülő modulban, amely lehetővé teszi a felhasználók számára, hogy egyedi e-mail sablonokat tervezzenek.

A sérülékenység kódbefecskendezést tesz lehetővé

A sebezhetőséget CVE-2022-0218 néven kódolták, és eredetileg Chloe Chamberlain, a Wordfence kutatója fedezte fel. A hibához rendelt CVSS-pontszám 8,3, ami jóval a "nagy súlyosságú" területen belülre helyezi.

A WP HTML Mail beépülő modul hibája a levelezősablon-bővítmény által használt REST-API útvonalak rossz kezelésében rejlik. Chamberlain szerint a bővítmény nem tartalmaz hitelesítési lépést a REST-API végpont eléréséhez. Ez lehetővé tenné a potenciális támadók számára, hogy ingyenesen hozzáférjenek az e-mail sablon témáihoz, beleértve a rosszindulatú JS beillesztésének lehetőségét, amely akkor fut le, amikor a törvényes rendszergazda megnyitja a levelezőszerkesztő oldalt.

A biztonsági rés által lehetővé tett hozzáférés mértéke kissé ijesztő. A potenciális hacker hátsó ajtó kódot szúrhat be, új felhasználókat hozhat létre adminisztrátori jogosultságokkal, oldalátirányításokat állíthat be, és akár korábban létrehozott, legitim e-mail-sablonokat is használhat adathalász e-mailek küldésére az áldozat webhelyének márkajelzésével és nevével.

Webhelyek ezreit kell frissíteni

A bővítmény hibájáról szóló biztonsági jelentés megemlíti, hogy a WP HTML Mail beépülő modul kompatibilis más nagyon népszerű bővítményekkel, köztük a WooCommerce-szel és a Ninja Forms-szal. Becslések szerint a sebezhető bővítmény nagyjából 20 ezer webhelyen van telepítve.

Az összes oldal tulajdonosának azt tanácsoljuk, hogy azonnal győződjön meg arról, hogy a WP HTML Mail legújabb, frissített verzióját futtatja, amelyen a biztonsági rést kijavították. A cikk írásakor ez a verzió 3.1.