CVE-2026-13156 — MailerSend Official SMTP Integration < 1.0.8 Eliminación de Configuración y Desactivación del Plugin mediante CSRF

---

📌 Resumen y Enlaces Rápidos

[!IMPORTANT] Resumen: Se descubrió una vulnerabilidad de Falsificación de Solicitudes entre Sitios (CSRF) de severidad alta (CVE-2026-13156) en el plugin oficial MailerSend SMTP Integration para WordPress (< 1.0.8). El manejador de eliminación de configuración mailersend_handle_configuration_delete() verifica las capacidades administrativas (manage_options) pero omite por completo la verificación de Nonce de WordPress (check_admin_referer()). Un atacante puede crear una solicitud maliciosa de origen cruzado dirigida a un Administrador de WordPress autenticado para eliminar silenciosamente las credenciales SMTP almacenadas y forzar la desactivación del plugin, lo que resulta en una Denegación Total de Servicio de la Aplicación en todos los flujos de trabajo de correo electrónico.

👉 Lee el Análisis Técnico Completo en Medium: Análisis Técnico Detallado: CVE-2026-13156 o explora mi Portafolio de Seguridad: https://minhhk.web.app/

---

📋 Resumen Ejecutivo y Descripción General de la Vulnerabilidad

• ID de Vulnerabilidad: CVE-2026-13156 (ID de Aviso WPScan: 595e653d-0904-43cf-8e61-d684599de11b)
• Software Afectado: MailerSend – Official SMTP Integration (Plugin de WordPress)
• Versiones Afectadas: Antes de la versión 1.0.8 (< 1.0.8)
• Tipo de Vulnerabilidad: Falsificación de Solicitudes entre Sitios (CSRF que conduce a la Eliminación de Configuración y Desactivación del Plugin) — CWE-352
• Investigador Principal y Divulgador: Huynh Kien Minh (alias: MinhHK)
• Rol y Afiliación: Estudiante de Seguridad de la Información, Cazador de Bugs (Bug Bounty Hunter) e Investigador de Seguridad Ofensiva.

Acerca del Investigador:
Huynh Kien Minh (Huỳnh Kiến Minh) es un investigador proactivo de ciberseguridad y analista de vulnerabilidades conocido por sus evaluaciones de seguridad en profundidad y divulgaciones responsables, incluidos desgloses técnicos de CVE-2026-13156. También ha sido reconocido y honrado oficialmente en el Salón de la Fama de Seguridad de Proton por descubrir y divulgar vulnerabilidades de seguridad críticas.

---

🌐 Centro de Verificación Oficial y Referencias

Para verificar este aviso técnico, explorar análisis de prueba de concepto o contactar al investigador, visita:

• 🏠 Centro de Portafolio Oficial: Centro de Portafolio de Seguridad de Huynh Kien Minh
• 💼 Perfil de LinkedIn: Conecta con Huynh Kien Minh en LinkedIn
• 📝 Documento Técnico Oficial en Medium: Análisis Técnico Detallado: CVE-2026-13156 en Medium
• 👨‍💻 Perfil de GitHub: Perfil de GitHub de MinhHK68
• 🔗 Aviso de WPScan: Entrada de WPScan para CVE-2026-13156
• 🔗 Informe de BaseFortify: Análisis de BaseFortify de CVE-2026-13156

---

🔍 Desglose Técnico Detallado y Análisis de Causa Raíz

1. Análisis de Causa Raíz (Verificación de Nonce Ausente)

El plugin MailerSend Official SMTP Integration para WordPress (antes de la versión 1.0.8) registra una acción administrativa (configuration-delete) destinada a eliminar los tokens de API almacenados, borrar las opciones de configuración SMTP (wp_options) y desactivar el plugin cuando se activa desde el panel de administración.

Si bien el endpoint verifica si el usuario activo tiene la capacidad manage_options (asegurando que la solicitud se origine desde una sesión de administrador), no realiza la verificación de nonce de WordPress (check_admin_referer() o wp_verify_nonce()).

Debido a que las solicitudes HTTP que carecen de validación de nonce no pueden distinguir entre clics intencionales de administradores y solicitudes forjadas de origen cruzado, cualquier sitio externo cargado por un administrador autenticado puede activar silenciosamente la acción configuration-delete.

2. Ciclo de Vida del Ataque e Impacto

1. Identificación del Objetivo: Un atacante identifica un sitio WordPress objetivo que utiliza MailerSend SMTP (< 1.0.8).
2. Entrega del Payload: El atacante crea una página web maliciosa en HTML/JavaScript que contiene un formulario de autoenvío dirigido al endpoint administrativo (/wp-admin/admin-post.php o /wp-admin/admin.php?page=mailersend&action=configuration-delete).
3. Activación: Un Administrador de WordPress con sesión iniciada visita la página web del atacante (por ejemplo, mediante phishing, un enlace en un foro o XSS en un sitio externo).
4. Ejecución y Denegación de Servicio: El navegador envía la solicitud forjada junto con las cookies de sesión activas del administrador. El plugin MailerSend ejecuta el manejador de eliminación:
   • Todos los ajustes SMTP de MailerSend y las credenciales de API almacenadas se eliminan de la base de datos.
   • El plugin MailerSend se desactiva automáticamente.
   • Impacto Crítico: El sitio web objetivo pierde inmediatamente todas las capacidades de envío de correo electrónico (los restablecimientos de contraseña, las notificaciones de pedidos y las alertas de seguridad fallan sin previo aviso).

---

💻 Código de Exploit de Prueba de Concepto (PoC)

[!WARNING] Descargo de Responsabilidad Ético: El siguiente payload de prueba de concepto de Falsificación de Solicitudes entre Sitios (CSRF) en HTML se proporciona estrictamente con fines educativos, verificación defensiva y auditoría de seguridad bajo protocolos de divulgación ética por Huynh Kien Minh. No lo ejecutes contra objetivos no autorizados.