WordPress ha publicado una actualización de seguridad urgente para corregir una vulnerabilidad de cross-site scripting (XSS) reflejado preautenticado en la pantalla de inicio de sesión. El fallo, identificado como CVE-2026-64638 y con una puntuación CVSS de 8.9, afecta a todas las versiones del popular sistema de gestión de contenidos y requiere una acción inmediata de los administradores.
La empresa de seguridad pwn.ai fue la encargada de descubrir y reportar la vulnerabilidad. Según su análisis, el XSS en la página de inicio de sesión no requiere autenticación: basta con que un nombre de usuario especialmente diseñado llegue a la página de error de inicio de sesión fallido para que el JavaScript malicioso se ejecute en el navegador de la víctima sin interacción adicional en esa página.
Sin embargo, la explotación completa hasta lograr ejecución de código PHP en el servidor requiere condiciones adicionales. Un atacante necesitaría que la víctima ya esté autenticada como administrador y que interactúe con una página controlada por el atacante. En la demostración realizada por pwn.ai, esa interacción se reduce a un solo clic.
Los investigadores informaron a The Hacker News que el ataque funciona contra instalaciones predeterminadas de WordPress y no requiere ajustes inusuales de alojamiento o implementación.
La cadena de explotación comienza con la forma en que WordPress maneja el nombre de usuario de un inicio de sesión fallido. El valor pasa por funciones de saneamiento que utilizan strip_tags() de PHP. Una cadena similar a una etiqueta con espacios después del < puede sobrevivir a ese proceso como texto, pero posteriormente WordPress lo interpreta como HTML permitido a través de wp_kses_post(). El resultado es que se inyectan elementos DOM controlados por el atacante en la página de error.
Pwn.ai bautizó la cadena completa como XSS2Shell. Su sistema autónomo descubrió la vulnerabilidad tras analizar la investigación SOME (Same Origin Method Execution) de Paulos Yibelo de 2022. El proceso tomó aproximadamente cuatro días utilizando modelos de código abierto y un flujo de trabajo multiagente.
Múltiples rutas hacia la ejecución de código
La empresa demostró varias vías para pasar del XSS a la ejecución de PHP. Una de ellas utiliza el control de aprobación de Application Passwords de WordPress. Al invocar esta función dentro de la sesión del administrador, el sistema crea una credencial de API que se redirige a una URL controlada por el atacante. Esta credencial se utiliza luego para acceder a la API REST y publicar una página con JavaScript de mismo origen. Cuando el administrador abre esa página, el script obtiene el nonce para subir plugins y sube un ZIP malicioso que permite ejecutar PHP en el servidor sin necesidad de activar el plugin.
Los investigadores señalaron que las medidas de endurecimiento de WordPress no deben considerarse como una mitigación completa del XSS subyacente y que la aplicación de la actualización de seguridad es obligatoria.
WordPress recomendó actualizar de inmediato a la versión 7.0.3 o a las versiones con retroceso de parches. Los sitios con actualizaciones automáticas en segundo plano deberían recibir la corrección de forma automática. Las versiones anteriores a la 4.7 siguen afectadas pero quedan fuera del rango de retroceso actual.
Según el aviso de WordPress, no se ha detectado explotación en ataques reales hasta el 7 de agosto, pero el riesgo es alto y se recomienda aplicar el parche lo antes posible.
Deja una respuesta