Pi-hole expone filtración de datos de donantes por fallo de seguridad

Pi-hole Revela Incidente de Seguridad en Correos de Donantes

Pi-hole ha revelado una vulnerabilidad de seguridad que expuso las direcciones de correo electrónico de los donantes debido a un fallo en su sistema de donaciones de WordPress. El proyecto de filtrado DNS de código abierto confirmó que los nombres y correos electrónicos proporcionados durante las donaciones eran accesibles públicamente en el código fuente de las páginas web.

Qué Información Fue Comprometida

La brecha solo afectó a los nombres y direcciones de correo electrónico enviados a través del formulario de donaciones de Pi-hole. La información financiera permaneció segura, ya que el procesamiento de pagos se maneja externamente a través de Stripe y PayPal. El producto Pi-hole en sí no se vio afectado por este incidente.

Cronología del Descubrimiento

El 28 de julio de 2025, Pi-hole recibió informes de donantes sobre correos electrónicos sospechosos. El equipo rastreó el problema hasta un plugin de su página de donaciones después de que los usuarios informaran que la información de los donantes era visible mediante simples acciones de "ver el código fuente de la página". Publicaciones en Reddit y discusiones en el foro Discourse ayudaron a identificar el problema.

Vulnerabilidad del Plugin Identificada

La vulnerabilidad de seguridad se encontraba en GiveWP, un plugin de donaciones para WordPress. La versión 4.6.1 incluía un parche crítico para la "visibilidad de la información del donante". Un problema archivado en GitHub muestra que la vulnerabilidad permitía el acceso público a los datos de donaciones mediante la inspección del código fuente de la página.

Respuesta y Responsabilidad

Pi-hole expresó su decepción por el manejo de la solución de seguridad y la línea de tiempo de comunicación por parte de GiveWP. Aunque el parche se lanzó horas después del informe, la notificación oficial se retrasó. Pi-hole asumió toda la responsabilidad por el incidente y se disculpó con los donantes afectados, enfatizando su compromiso de restaurar la confianza.