WordPress, el CMS más usado del mundo, vuelve a estar en el punto de mira de los ciberdelincuentes. Recientemente, se han revelado dos vulnerabilidades críticas en plugins populares que permiten acceder a cuentas administrativas sin necesidad de credenciales. Ambas fallas tienen una puntuación de 9.8 en la escala CVSS, lo que las sitúa en el nivel más alto de riesgo.
Las vulnerabilidades han sido catalogadas como CVE-2025-7624 y CVE-2025-5821, y afectan a plugins utilizados en tiendas online y sitios que implementan sistemas de registro de usuarios.
CVE-2025-7624 – Falla en Simpler Checkout
- Plugin afectado: Simpler Checkout para WordPress (junto con WooCommerce).
- Versiones vulnerables: de la 0.7.0 a la 1.1.9, inclusive.
- Descripción técnica: el fallo se encuentra en la función simplerwc_woocommerce_order_created().
- Un atacante no autenticado puede inyectar un ID de pedido falso y hacerse pasar por el usuario asociado.
- Si el pedido pertenece a un administrador, el atacante obtiene privilegios completos sobre el sitio.
Impacto potencial
- Control total del sitio web.
- Alteración o robo de datos de clientes (incluyendo información sensible de pedidos).
- Inyección de código malicioso para propagar malware o redirigir tráfico a páginas fraudulentas.
CVE-2025-5821 – Falla en Case Theme User
- Plugin afectado: Case Theme User.
- Versiones vulnerables: todas hasta la 1.0.3 inclusive.
- Descripción técnica: el fallo está en la función facebook_ajax_login_callback().
- Permite que un atacante no autenticado se conecte como administrador.
- Solo requiere conocer el correo electrónico del administrador y tener una cuenta registrada en el sitio.
Impacto potencial
- Acceso directo al panel de administración.
- Creación o eliminación de usuarios.
- Instalación de plugins maliciosos.
- Robo o borrado de información crítica.
¿Por qué es grave?
WordPress impulsa más del 40% de los sitios web en Internet, y su seguridad depende en gran medida de los plugins de terceros. Esto convierte a los plugins en uno de los puntos más atacados por los cibercriminales.
Un fallo en un solo plugin puede afectar a miles de páginas en todo el mundo. En este caso, ambos errores permiten el bypass total de autenticación, es decir, acceder como administrador sin necesidad de contraseña ni interacción del usuario.
RECOMENDACIONES
El impacto para ambas vulnerabilidades es alto, por lo cual se recomienda una actualización inmediata para no incurrir en un incidente.
- Actualiza inmediatamente los plugins afectados:
- Simpler Checkout: actualizar a una versión superior a la 1.1.9 en cuanto esté disponible.
- Case Theme User: actualizar a una versión superior a la 1.0.3.
- Audita los registros de tu sitio: revisa inicios de sesión sospechosos y cambios en cuentas administrativas.
- Cambia las contraseñas de administradores y usuarios con privilegios elevados.
- Habilita autenticación multifactor (MFA) para todas las cuentas críticas.
- Usa un firewall de aplicaciones web (WAF) para filtrar intentos de explotación automatizados.
- Haz copias de seguridad regulares de tu sitio y base de datos, para poder restaurar en caso de compromiso.
