**Exposición de Datos en Pi-hole: Vulnerabilidad en GiveWP Revela Información de Donantes**

—

### Introducción

El proyecto Pi-hole, ampliamente reconocido por su solución de bloqueo de publicidad a nivel de red, ha informado recientemente de una brecha de seguridad que ha implicado la exposición de datos personales de sus donantes. El incidente, que afecta directamente a la confidencialidad de los nombres y direcciones de correo electrónico de los donantes, se debe a una vulnerabilidad identificada en el plugin GiveWP para WordPress, utilizado para gestionar donaciones en línea. Este suceso subraya los riesgos inherentes al uso de plugins de terceros y la importancia de mantener una gestión robusta de la seguridad en las plataformas de recaudación de fondos.

—

### Contexto del Incidente

Pi-hole opera su sitio web principal sobre WordPress, utilizando el popular plugin GiveWP como solución para la gestión y procesamiento de donaciones. GiveWP se encuentra instalado en más de 100.000 sitios web a nivel mundial y es ampliamente utilizado por proyectos de código abierto y organizaciones sin ánimo de lucro para facilitar la recepción de fondos.

El equipo de Pi-hole detectó recientemente que, debido a una mala configuración de los endpoints REST API de GiveWP, era posible acceder sin autenticar a los datos de donantes almacenados en la base de datos de WordPress. Esta exposición incluía nombres completos y direcciones de correo electrónico, lo que supone una vulneración directa de la privacidad de los usuarios y un potencial incumplimiento del Reglamento General de Protección de Datos (GDPR).

—

### Detalles Técnicos

La vulnerabilidad explotada se encuentra documentada bajo el identificador **CVE-2024-4985**. El fallo radica en una exposición indebida de los endpoints REST de GiveWP, que permitían consultas no autenticadas a información sensible.

#### Vectores de Ataque

– **Técnica:** Explotación de endpoints REST API mal protegidos.
– **TTP MITRE ATT&CK:** [T1190 – Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190/).
– **Herramientas utilizadas:** La explotación puede realizarse mediante scripts personalizados o herramientas como curl, Postman, Burp Suite, y frameworks automatizados de escaneo de API.

#### Indicadores de Compromiso (IoC)

– Consultas inusuales a `/wp-json/give-api/v2/` desde direcciones IP desconocidas.
– Accesos repetidos a endpoints de GiveWP sin autenticación previa.

#### Versiones Afectadas

Las versiones de GiveWP anteriores a la **3.11.6** son vulnerables a este tipo de explotación. La versión 3.11.6 y posteriores han corregido el fallo limitando el acceso no autenticado a los endpoints afectados.

—

### Impacto y Riesgos

El alcance de la exposición es significativo: cualquier donante que haya realizado una contribución a través de la plataforma de Pi-hole podría haber visto su nombre y dirección de correo electrónico accesibles públicamente. Este tipo de incidente facilita el phishing dirigido, ataques de ingeniería social y, en el caso de reutilización de contraseñas, intentos de acceso a otros servicios.

A nivel de cumplimiento normativo, la exposición no autorizada de datos personales constituye un potencial incidente reportable bajo el GDPR y otras normativas similares (NIS2 en el ámbito europeo para servicios esenciales). La falta de cifrado o restricción de acceso sobre estos datos multiplica el riesgo reputacional y económico, con sanciones que pueden llegar al 4% de la facturación global anual de la organización responsable.

—

### Medidas de Mitigación y Recomendaciones

Para los administradores de sistemas y responsables de seguridad se recomiendan las siguientes acciones inmediatas:

– **Actualizar GiveWP a la versión 3.11.6 o superior**.
– Revisar los logs de acceso al servidor web y WordPress en busca de actividad sospechosa relacionada con los endpoints REST de GiveWP.
– Implementar reglas de firewall o WAF para restringir el acceso a la API REST únicamente a usuarios autenticados.
– Realizar auditorías de seguridad periódicas sobre todos los plugins y componentes de WordPress.
– Notificar a los usuarios y donantes afectados, cumpliendo con las obligaciones legales de notificación de brechas de datos personales.

—

### Opinión de Expertos

Expertos del sector, como analistas de amenazas y responsables de seguridad, coinciden en que los plugins de WordPress continúan siendo uno de los vectores de ataque más explotados en el ecosistema de aplicaciones web. Según datos recientes de WPScan, más del 70% de los incidentes de seguridad en WordPress están vinculados a plugins de terceros. “La exposición de datos personales a través de APIs mal configuradas es un riesgo clásico, pero evitable, mediante principios de mínimo privilegio y un control de acceso efectivo”, apunta David Martínez, CISO de una consultora de ciberseguridad.

—

### Implicaciones para Empresas y Usuarios

Para las organizaciones que dependen de WordPress y plugins como GiveWP, este incidente es un recordatorio crítico de la necesidad de gestionar el ciclo de vida de los plugins, incluyendo evaluaciones de seguridad, actualizaciones regulares y políticas estrictas de control de acceso. Los usuarios finales, especialmente donantes, deben ser conscientes de los riesgos asociados a la divulgación de información personal y exigir transparencia y diligencia a las entidades receptoras de sus datos.

La tendencia de ataques dirigidos contra plataformas de recaudación en código abierto se está incrementando, en paralelo a la sofisticación de los atacantes y la creciente superficie de ataque que suponen las APIs y los microservicios.

—

### Conclusiones

El incidente de Pi-hole y GiveWP pone de manifiesto la importancia de auditar regularmente la seguridad de los plugins de terceros y refuerza la necesidad de una gestión proactiva de la seguridad en plataformas basadas en WordPress. La pronta actualización, monitorización y una comunicación efectiva con los usuarios afectados son esenciales para minimizar el impacto y cumplir con la legislación vigente. La exposición de datos personales sigue siendo uno de los riesgos más relevantes y costosos para cualquier organización digital.

(Fuente: www.bleepingcomputer.com)