Una vulnerabilidad crítica en el plugin Funnel Builder para WordPress está siendo explotada activamente para inyectar fragmentos de JavaScript malicioso en las páginas de pago de WooCommerce. El fallo, que no ha recibido un identificador oficial, puede ser aprovechado sin necesidad de autenticación y afecta a todas las versiones del plugin anteriores a la 3.15.0.3.
Funnel Builder es un plugin de WordPress para WooCommerce Checkout desarrollado por FunnelKit, utilizado principalmente para personalizar las páginas de pago, con funciones como ventas adicionales con un solo clic, páginas de aterrizaje y optimización de tasas de conversión. Según estadísticas de WordPress.org, el plugin está activo en más de 40,000 sitios web.
La empresa de seguridad para comercio electrónico Sansec detectó la actividad maliciosa y observó que la carga útil (analytics-reports[.]com/wss/jquery-lib.js) se disfraza como un script falso de Google Tag Manager/Google Analytics que abre una conexión WebSocket a una ubicación externa (wss://protect-wss[.]com/ws).
Un atacante puede explotar esta vulnerabilidad para modificar la configuración global del plugin a través de un punto final de pago expuesto y sin protección. Esto permite inyectar JavaScript arbitrario en la configuración de 'Scripts externos' del plugin, provocando que el código malicioso se ejecute en cada página de pago.
Según Sansec, el servidor controlado por el atacante entrega un skimmer de tarjetas de pago personalizado que roba la siguiente información: números de tarjeta de crédito, CVV, direcciones de facturación y otros datos del cliente. Los skimmers de tarjetas de pago permiten a los actores de amenazas realizar compras fraudulentas en línea, mientras que los registros robados a menudo se venden individualmente o al por mayor en mercados de la dark web conocidos como mercados de tarjetas.
FunnelKit solucionó la vulnerabilidad en la versión 3.15.0.3 de Funnel Builder, lanzada ayer. Un aviso de seguridad del proveedor, visto por Sansec, confirma la actividad maliciosa y afirma: 'identificamos un problema que permitía a actores malintencionados inyectar scripts'. El proveedor recomienda que los propietarios y administradores de sitios web prioricen la actualización a la última versión desde el panel de WordPress y también revisen Configuración > Pago > Scripts externos para detectar posibles scripts maliciosos que el atacante haya podido añadir.
Deja una respuesta