Una vulnerabilidad crítica en el complemento de WordPress permite a los atacantes obtener control total sobre el sitio…

Se ha descubierto una vulnerabilidad de seguridad crítica en el ampliamente utilizado complemento WordPress OAuth Single Sign-On (SSO (OAuth Client) desarrollado por miniOrange, que expone a millones de sitios web de WordPress a la toma completa de atacantes remotos no autenticados. La falla, rastreada como CVE-2026-57807, tiene una puntuación CVSS casi máxima de 9,8 y fue revelada por Patchstack el 9 de julio de 2026.

La vulnerabilidad se clasifica como una falla de autenticación rota en la categoría A7 del Top 10 de OWASP: fallas de identificación y autenticación. Técnicamente, la vulnerabilidad tiene su origen en CWE-288 (omisión de autenticación mediante una ruta o canal alternativo) y explota el mecanismo de recuperación de contraseña del complemento. Un atacante remoto no autenticado puede abusar del flujo de recuperación de contraseña defectuoso del complemento para eludir por completo los controles de inicio de sesión. Patchstack ha clasificado esto como una vulnerabilidad de alta prioridad que se espera que se utilice en campañas de exploit masiva dirigidas a miles de sitios web simultáneamente, independientemente del tamaño del sitio o los niveles de tráfico.

Cuando la eliminación inmediata no sea factible, los administradores deben restringir el acceso a los puntos finales de recuperación de contraseña y inicio de sesión de WordPress utilizando reglas de firewall de aplicaciones web (WAF) o listas de permitidos basadas en IP para reducir la superficie de ataque. Fortalezca su SOC acelerando la detección de amenazas y las investigaciones rápidas.  -> Integre ANY.RUN con su SOC ahora La vulnerabilidad crítica del complemento de WordPress permite a los atacantes obtener control total sobre el sitio web apareció por primera vez en Cyber Security News.

Consultar publicación original ↗