Resumen:


Ha sido detectada una vulnerabilidad de severidad alta, cuya explotación podría potencialmente permitirle a los atacantes realizar una variedad de actividades maliciosas en los sitios de Wordpress.

 

El fallo se trata de un cross site scripting que se encuentra en el WordPress Email Template Designer. Ha sido rastreado como CVE-2022-0218 y es el resultado de una configuración defectuosa en las rutas REST-API, utilizadas para cambiar ajustes o actualizar la pantalla.

 

WordPress Email Template Designer, es un plugin diseñado para crear correos electrónicos personalizados sin la necesidad de hacer alguna codificación.

 

Cualquier actor de amenazas que logre explotar el fallo, obtendrá acceso al punto final de la REST-API, lo que le otorgará la capacidad de guardar la configuración o recuperar ajustes del tema del correo electrónico. 

En otras palabras, el aprovechamiento de esta vulnerabilidad le permitirá a los atacantes, añadir usuarios nuevos otorgándoles credenciales administrativas, inyectar backdoors, implementar redireccionamientos de sitios e inclusive hacer uso de plantillas de sitios legítimos para enviar correos electrónicos de phishing. 

Cabe mencionar que WordPress Email Template Designer está instalada en alrededor de 20,000 sitios y es compatible con otros plugins que ejecutan sitios de WordPress con grandes seguidores como WooCommerce, Ninja Forms y Buddy Press.

 

Esto supone un gran riesgo para los usuarios, ya que miles de sitios quedan expuestos ante los actores de amenazas que deseen obtener privilegios administrativos para llevar a cabo actividades maliciosas. 

 

No obstante, múltiples investigadores afirman que el fallo ya ha sido parcheado en la última versión lanzada hace una semana de WordPress Email Template Designer. Por lo tanto, es responsabilidad de los usuarios verificar si su sitio ya ha sido actualizado.

 

Recomendaciones:

Por el momento, se le recomienda a los administradores de sitios WordPress, que descarguen inmediatamente la versión 3.1 de WordPress Email Template Designer, si es que no ha sido instalada automáticamente.

 

Referencias:

https://es.wordpress.org/plugins/wp-html-mail/

https://threatpost.com/wordpress-insecure-plugin-rest-api/177866/

 

 

Folio 139