Se ha detectado una vulnerabilidad crítica en el plugin Funnel Builder para WordPress que permite a atacantes inyectar código malicioso en las páginas de pago de WooCommerce para robar datos de tarjetas y clientes. El fallo afecta a versiones anteriores a la 3.15.0.3 y puede ser explotado sin autenticación. Se recomienda actualizar el plugin inmediatamente y revisar la configuración de "External Scripts" para eliminar cualquier código sospechoso.




Una vulnerabilidad crítica en el plugin Funnel Builder para WordPress está siendo explotada activamente para inyectar fragmentos de JavaScript maliciosos en las páginas de pago de WooCommerce.

El fallo no ha recibido un identificador oficial y puede aprovecharse sin autenticación. Afecta a todas las versiones del plugin anteriores a la 3.15.0.3.

Funnel Builder es un plugin de WordPress para el pago de WooCommerce desarrollado por FunnelKit, utilizado principalmente para personalizar las páginas de pago, con funciones como ventas adicionales en un solo clic, páginas de destino y optimización de las tasas de conversión.

Según las estadísticas de WordPress.org, el plugin Funnel Builder está activo en más de 40,000 sitios web [https://wordpress.org/plugins/funnel-builder/].

La empresa de seguridad de comercio electrónico Sansec detectó la actividad maliciosa [https://sansec.io/research/funnelkit-woocommerce-vulnerability-exploited] y observó que la carga útil (analytics-reports[.]com/wss/jquery-lib.js) está disfrazada de un script falso de Google Tag Manager/Google Analytics que abre una conexión WebSocket a una ubicación externa (wss://protect-wss[.]com/ws).

Un atacante puede explotarlo para modificar la configuración global del plugin a través de un endpoint de pago desprotegido y expuesto públicamente. Esto les permite inyectar JavaScript arbitrario en el ajuste de "Scripts Externos" del plugin, provocando que el código malicioso se ejecute en cada página de pago.

Según Sansec, el servidor controlado por el atacante entrega un skimmer de tarjetas de pago personalizado que roba la siguiente información:

* Números de tarjeta de crédito
* CVV
* Direcciones de facturación
* Otra información del cliente

Los skimmers de tarjetas de pago permiten a los actores de amenazas realizar compras fraudulentas en línea, mientras que los registros robados a menudo terminan vendiéndose individualmente o al por mayor en portales de la dark web conocidos como mercados de carding.

FunnelKit solucionó la vulnerabilidad en la versión 3.15.0.3 de Funnel Builder, lanzada ayer.

Un aviso de seguridad del proveedor, visto por Sansec, confirma la actividad maliciosa, afirmando que "identificamos un problema que permitía a los malos actores inyectar scripts".

El proveedor recomienda que los propietarios y administradores de sitios web prioricen la actualización a la última versión desde el panel de control de WordPress y también revisen Ajustes > Pago > Scripts Externos para detectar posibles scripts maliciosos que el atacante haya podido añadir.

Fuente:
BleepingComputer