數以千計的 WordPress 網站受插件漏洞影響

在另一個 WordPress 模板中發現了一個新的嚴重漏洞。該漏洞允許在運行插件的頁面上註入代碼，以及通過跨站點腳本進行網絡釣魚。

似乎每個月都不會出現新的 WordPress 插件漏洞。 1 月份也不例外，研究人員在 WP HTML Mail 中發現了一個全新的漏洞——一個允許用戶設計自定義電子郵件模板的 WordPress 插件。

漏洞允許代碼注入

該漏洞已被編碼為 CVE-2022-0218，最初是由 Wordfence 的研究員 Chloe Chamberlain 發現的。分配給該漏洞的 CVSS 分數為 8.3，這使其處於“高嚴重性”範圍內。

WP HTML Mail 插件的缺陷在於它對郵件模板插件使用的 REST-API 路由處理不當。據張伯倫說，該插件不包括訪問 REST-API 端點的身份驗證步驟。這將允許潛在的攻擊者自由訪問電子郵件模板的主題，包括注入惡意 JS 的能力，該 JS 將在合法管理員打開郵件編輯器頁面時運行。

該漏洞允許的訪問範圍有點可怕。潛在的黑客可以注入後門代碼，創建具有管理員權限的新用戶，設置頁面重定向，甚至使用以前創建的合法電子郵件模板，使用受害者的網站品牌和名稱發送網絡釣魚電子郵件。

數以千計的網站需要更新

關於插件缺陷的安全報告提到 WP HTML Mail 插件與其他非常流行的插件兼容，包括 WooCommerce 和 Ninja Forms。據估計，這個易受攻擊的插件安裝在大約 2 萬個網站上。

建議所有這些頁面的所有者立即確保他們運行的是 WP HTML Mail 的最新更新版本，該漏洞已修復。在撰寫本文時，此版本為 3.1。