Migliaia di siti WordPress interessati da vulnerabilità dei plug-in

Una nuova grave vulnerabilità è stata scoperta in un altro modello di WordPress. Il difetto consente l'iniezione di codice nelle pagine che eseguono il plug-in, nonché il phishing tramite scripting cross-site.

Sembra che non possa passare un solo mese senza che venga visualizzata una nuova vulnerabilità del plugin di WordPress. Gennaio non fa eccezione a questa regola, con la nuovissima vulnerabilità scoperta dai ricercatori in WP HTML Mail, un plugin per WordPress che consente agli utenti di progettare modelli di email personalizzati.

La vulnerabilità consente l'inserimento di codice

La vulnerabilità è stata codificata con il designatore CVE-2022-0218 ed è stata originariamente scoperta da Chloe Chamberlain, una ricercatrice di Wordfence. Il punteggio CVSS assegnato al difetto è 8,3, il che lo colloca ben all'interno del territorio di "alta gravità".

Il difetto del plug-in WP HTML Mail risiede nella sua scarsa gestione dei percorsi REST-API utilizzati dal plug-in del modello di posta. Il plug-in non include alcun passaggio di autenticazione per accedere all'endpoint REST-API, secondo Chamberlain. Ciò consentirebbe a un potenziale aggressore di accedere gratuitamente ai temi del modello di posta elettronica, inclusa la possibilità di iniettare JS dannosi che verrebbero eseguiti quando l'amministratore legittimo apre la pagina dell'editor di posta.

L'estensione dell'accesso consentita dalla vulnerabilità è un po' spaventosa. Un potenziale hacker potrebbe iniettare codice backdoor, creare nuovi utenti con privilegi di amministratore, impostare reindirizzamenti di pagina e persino utilizzare modelli di e-mail legittimi creati in precedenza per inviare e-mail di phishing utilizzando il marchio e il nome del sito della vittima.

Migliaia di siti Web devono essere aggiornati

Il rapporto sulla sicurezza sul difetto del plug-in afferma che il plug-in WP HTML Mail è compatibile con altri plug-in molto popolari, inclusi WooCommerce e Ninja Forms. Secondo le stime, il plugin vulnerabile è installato su circa 20mila siti web.

Si consiglia ai proprietari di tutte queste pagine di assicurarsi immediatamente di eseguire l'ultima versione aggiornata di WP HTML Mail, che ha la vulnerabilità risolta. Al momento in cui scrivo, questa versione è 3.1.