Vulnerabilidad en plugin de WordPress pone en riesgo más de 100,000 sitios web
Una vulnerabilidad crítica de seguridad descubierta recientemente en el plugin Advanced Custom Fields: Extended (ACF Extended) para WordPress ha expuesto a más de 100,000 sitios web a posibles ataques de escalamiento de privilegios, permitiendo a atacantes obtener acceso total como administradores.
La falla de seguridad ha sido registrada como CVE-2025-14533 y afecta a todas las versiones del plugin hasta la 0.9.2.1, con una puntuación CVSS de 9.8 (Crítica), lo que la convierte en una amenaza de alto impacto para cualquier sitio vulnerable.
¿En qué consiste la vulnerabilidad CVE-2025-14533?
El problema permite que usuarios no autenticados se registren en un sitio WordPress y obtengan privilegios de administrador, explotando un fallo en la forma en que el plugin gestiona los formularios de creación de usuarios.
En condiciones normales, los formularios de registro solo deberían permitir roles seguros como suscriptor. Sin embargo, en las versiones vulnerables del plugin, esta restricción no se valida correctamente en el servidor, aunque parezca limitada visualmente en el formulario.
Esto abre la puerta a que un atacante envíe una solicitud manipulada y se asigne directamente el rol de administrador, sin necesidad de credenciales previas.
¿Cómo funciona el ataque?
El plugin ACF Extended permite crear formularios personalizados para:
- Registro de usuarios
- Actualización de perfiles
- Gestión avanzada de datos sin programar
El fallo ocurre cuando:
- Existe un formulario público de registro o creación de usuarios.
- Dicho formulario tiene un campo de rol de usuario mapeado.
- El plugin procesa los datos sin validar si el rol enviado está permitido.
Internamente, el plugin utiliza la función nativa wp_insert_user() de WordPress, pero no filtra ni restringe el rol recibido, lo que permite que un atacante envíe valores como administrator directamente en la petición HTTP.
Como resultado, WordPress crea la cuenta con permisos completos, otorgando control total del sitio.
Detalles técnicos de la vulnerabilidad
| Campo | Detalle |
|---|---|
| ID de vulnerabilidad | CVE-2025-14533 |
| Plugin afectado | Advanced Custom Fields: Extended |
| Slug | acf-extended |
| Versiones vulnerables | ≤ 0.9.2.1 |
| Versión corregida | 0.9.2.2 |
| Tipo de vulnerabilidad | Escalamiento de privilegios sin autenticación |
| Vector de ataque | Envío malicioso de formulario de registro |
| Condición requerida | Formulario público con campo de rol mapeado |
| Puntuación CVSS | 9.8 (Crítica) |
| Instalaciones afectadas | Más de 100,000 |
| Descubrimiento | Andrea Bocchetti (Wordfence Bug Bounty) |
Solución y medidas de mitigación
El desarrollador del plugin lanzó una actualización de seguridad en la versión 0.9.2.2, que corrige el fallo validando correctamente los roles de usuario.
Comentarios
Publicar un comentario