Una vulnerabilidad crítica en el complemento de WordPress expone los sitios web a ataques de elusión de autenticación

Una vulnerabilidad crítica en un complemento de WordPress ampliamente utilizado ha expuesto a más de 200.000 sitios web a la apropiación total de sus cuentas, lo que genera preocupaciones urgentes en toda la comunidad de seguridad. Descubierta el 8 de mayo de 2026 por la plataforma de inteligencia de amenazas de amenazas de amenazas PRISM impulsada por IA de Wordfence, la falla afecta al complemento Burst Statistics, una herramienta de análisis centrada en la privacidad.

Registrada como CVE-2026-8181 con una puntuación CVSS de 9,8, la vulnerabilidad permite a atacantes no autenticados eludir la autenticación y hacerse pasar por cuentas de administrador. Fallo de omisión de autenticación del complemento de WordPress La vulnerabilidad se debe a una validación inadecuada en la integración de MainWP del complemento, específicamente dentro de la función is_mainwp_authentiated(). Debido al manejo inseguro del valor de retorno, el complemento trata cualquier respuesta que no sea de error de la función wp_authenticate_application_password() de WordPress como una autenticación exitosa. En ciertos casos, esta función devuelve un valor nulo en lugar de un error cuando falla la autenticación, lo que permite que las solicitudes maliciosas pasen sin control.

Los expertos en seguridad advierten que la simplicidad de exploit y la falta de autenticación hacen que esta vulnerabilidad sea muy atractiva para los actores de amenazas. La publicación Vulnerabilidad crítica del complemento de WordPress expone los sitios web a ataques de omisión de autenticación apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗