Kirki <= 6.0.11 - Missing Authorization to Unauthenticated Arbitrary Email Content Injection (Mail Relay / Phishing) via 'emailBody' and 'emailSubject' Parameters (falta de autorizacion) - version 6.0.12

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Kirki, versiones hasta 6.0.11, que permite la inyección de contenido de email arbitrario sin autenticación. Esto puede facilitar ataques de phishing y comprometer la seguridad operativa del sitio web.

Contexto técnico

El fallo se origina en la falta de autorización en los parámetros 'emailBody' y 'emailSubject', permitiendo a un atacante no autenticado inyectar contenido malicioso en los correos electrónicos enviados desde el sistema. La superficie de ataque se centra en las funciones de envío de correo del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el envío de correos electrónicos fraudulentos, afectando la reputación del negocio y poniendo en riesgo la información de los usuarios. Esto puede llevar a la pérdida de confianza por parte de los clientes y posibles implicaciones legales.

Vector de explotación

Generalmente, la explotación se realiza enviando solicitudes manipuladas a las funciones del plugin que gestionan el envío de emails, aprovechando la falta de validación de los parámetros mencionados.

Mitigación recomendada

Actualizar el plugin Kirki a la versión 6.0.12 o superior para corregir la vulnerabilidad. Revisar y ajustar las configuraciones de seguridad relacionadas con el envío de correos electrónicos. Implementar medidas de monitoreo para detectar actividades inusuales en el envío de emails.

Señales de detección

Señales de riesgo incluyen registros de envíos de correos electrónicos que contienen contenido sospechoso o no autorizado y configuraciones de plugin que permiten el envío sin autenticación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.0.12 del plugin Kirki. No se han confirmado casos en versiones posteriores.