数以千计的 WordPress 网站受插件漏洞影响

在另一个 WordPress 模板中发现了一个新的严重漏洞。该漏洞允许在运行插件的页面上注入代码，以及通过跨站点脚本进行网络钓鱼。

似乎每个月都不会出现新的 WordPress 插件漏洞。 1 月份也不例外，研究人员在 WP HTML Mail 中发现了一个全新的漏洞——一个允许用户设计自定义电子邮件模板的 WordPress 插件。

漏洞允许代码注入

该漏洞已被编码为 CVE-2022-0218，最初是由 Wordfence 的研究员 Chloe Chamberlain 发现的。分配给该漏洞的 CVSS 分数为 8.3，这使其处于“高严重性”范围内。

WP HTML Mail 插件的缺陷在于它对邮件模板插件使用的 REST-API 路由处理不当。据张伯伦说，该插件不包括访问 REST-API 端点的身份验证步骤。这将允许潜在的攻击者自由访问电子邮件模板的主题，包括注入恶意 JS 的能力，该 JS 将在合法管理员打开邮件编辑器页面时运行。

该漏洞允许的访问范围有点可怕。潜在的黑客可以注入后门代码，创建具有管理员权限的新用户，设置页面重定向，甚至使用以前创建的合法电子邮件模板，使用受害者的网站品牌和名称发送网络钓鱼电子邮件。

数以千计的网站需要更新

关于插件缺陷的安全报告提到 WP HTML Mail 插件与其他非常流行的插件兼容，包括 WooCommerce 和 Ninja Forms。据估计，这个易受攻击的插件安装在大约 2 万个网站上。

建议所有这些页面的所有者立即确保他们运行的是 WP HTML Mail 的最新更新版本，该漏洞已修复。在撰写本文时，此版本为 3.1。