---
title: "Detectada una vulnerabilidad grave en el popular plugin Easy WP SMTP"
date: "2019-03-27T23:44:27+02:00"
modified: "2021-12-03T16:03:27+02:00"
author: "Otras Fuentes"
section: "Tecnología"
canonical: "https://alcazardesanjuan.com/detectada-una-vulnerabilidad-grave-en-el-popular-plugin-easy-wp-smtp/"
site: "Alcázar de San Juan"
---

# Detectada una vulnerabilidad grave en el popular plugin Easy WP SMTP

Seguro que ya nos conoces como esos bloggers que hablan sobre WordPress y que siempre dan la lata con el tema de actualizar, pero no os podéis imaginar lo importante que esto puede llegar a ser, y para muestra un botón.

**En esta semana hemos conocido que se ha detectado una grave vulnerabilidad en el popular plugin Easy WP SMTP**. [Ya os hemos hablado en otras ocasiones](https://wpdirecto.com/error-smtp-wordpress/) de este plugin. [Easy WP SMTP](https://es.wordpress.org/plugins/easy-wp-smtp/) cuenta con una base de usuarios con más de 300.000 instalaciones activas y nos permite configurar conexiones SMTP para el correo electrónico saliente. Dicha vulnerabilidad está presente en la última versión del plugin, la 1.3.9. **Por suerte, el equipo de desarrollo ya han lanzado un parche para solucionar esta vulnerabilidad**. En este artículo veremos la vulnerabilidad, cómo los atacantes están abusando de ella y qué deberías hacer si crees que estás en riesgo.

Para empezar debes saber que la vulnerabilidad reportada **sigue bajo amenaza activa**, es decir, los hackers aún siguen accediendo a los sitios webs que cuentan con este plugin sin actualizar. ¿En qué nos repercute esto como administradores de un sitio web desarrollado con WordPress? Pues según hemos podido saber a través de [Wordfence](https://www.wordfence.com/blog/2019/03/hackers-abusing-recently-patched-vulnerability-in-easy-wp-smtp-plugin/), **los atacantes pueden establecer un control masivo de los sitios afectados**. Cuando hablamos de control total, hablamos de que el hacker puede disponer de nuestro sitio web para lo que quiera.

La raiz del problema se encuentra en la**funcionalidad de Importar/Exportar que añadieron en la versión 1.3.9 del plugin**. El culpable es este código del hook admin_init, el cual ejecutan scripts del admin como admin-ajax.php o admin-post.php.

```
$is_import_settings = filter_input( INPUT_POST, 'swpsmtp_import_settings', FILTER_SANITIZE_NUMBER_INT );
 if ( $is_import_settings ) {
   $err_msg = __( 'Error occurred during settings import', 'easy-wp-smtp' );
   if ( empty( $_FILES[ 'swpsmtp_import_settings_file' ] ) ) {
       echo $err_msg;
       wp_die();
 }
 $in_raw = file_get_contents( $_FILES[ 'swpsmtp_import_settings_file' ][ 'tmp_name' ] );
 try {
     $in = unserialize( $in_raw );
     if ( empty( $in[ 'data' ] ) ) {
           echo $err_msg;
           wp_die();
     }
     if ( empty( $in[ 'checksum' ] ) ) {
          echo $err_msg;
           wp_die();
     }
     if ( md5( $in[ 'data' ] ) !== $in[ 'checksum' ] ) {
           echo $err_msg;
           wp_die();
     }
     $data = unserialize( $in[ 'data' ] );
     foreach ( $data as $key => $value ) {
           update_option( $key, $value );
     }
     set_transient( 'easy_wp_smtp_settings_import_success', true, 60 * 60 );
     $url = admin_url() . 'options-general.php?page=swpsmtp_settings';
     wp_safe_redirect( $url );
     exit;
```

Cuando este hook se ejecuta, el plugin comprueba si existe $_POST[‘swpsmtp_import_settings’]. Si el valor de este parámetro es igual a 1, se supone que el plugin está realizando una importación y comprueba si existe un fichero subido en $_FILES[ ‘swpsmtp_import_settings_file’ ]. El contenido del fichero subido está sin validar y update_option se ejecuta en cada par clave/valor dado.

A raiz de esto, me han extrañado dos cosas. La más importante es que **no llega a realizarse ninguna comprobación del rol del usuario para llevar a cabo este proceso**, por lo que el atacante no necesita ningún permiso especial para explotar esta vulnerabilidad. Por otro lado, **cualquier opción pasada por el usuario llega a actualizar la BD**. Esto puede dar pie a que un hacker modifique los valores de la tabla wp_options de la base de datos de tu WordPress. Justo la actividad que los atacantes están llevando a cabo en estos momentos en los sitios web afectados.

## ¿Cómo saber si mi sitio está afectado y cómo proceder?

Como he dicho antes, los desarrolladores del plugin ya son conscientes de la vulnerabilidad y han lanzado un parche que la corrige, la versión 1.3.9.1. Este parche basicamente evita el acceso no autorizado al script de importación. **Por lo tanto, si sospechas que esta vulnerabilidad ha afectado a tu sitio web, como si no, te recomiendo encarecidamente que a[ctualices el plugin lo antes posible](https://wpdirecto.com/por-que-siempre-actualizar-wordpress-a-la-ultima-version/)**. Aunque tu WordPress actualmente no muestre sintomas de haber sufrido un ataque, es posible que lo sufra de cara a futuro, así que lo mejor es actualizar ya.

Si notas que tu WordPress funciona raro o has visto alguno de los puntos que mencionamos a continuación, ponte en contacto con un profesional que pueda ayudarte en estos temas.

### Puntos que pueden indicar que tu sitio web ha sido afectado por la vulnerabilidad del plugin Easy WP SMTP.

- Tráfico procedente de las siguientes IPs: 185.212.131.45, 185.212.128.22, 185.212.131.46 y 86.109.170.200.
- Cuentas de administrador desconocidas.
- Tags de <script> inyectados en la primera línea del archivo index.php

Y hasta aquí nuestro artículo sobre la vulnerabilidad grave en el popular plugin Easy WP SMTP. **Espero que te haya gustado y, si te ha resultado útil, no dudes en compartirlo en redes sociales**.

---

Fuente: https://alcazardesanjuan.com/detectada-una-vulnerabilidad-grave-en-el-popular-plugin-easy-wp-smtp/