Una grave vulnerabilidad de seguridad ha sido descubierta en el popular plugin WordPress OttoKit (anteriormente conocido como SureTriggers), que actualmente está instalado en más de 100.000 sitios web. Esta falla crítica permite a los atacantes crear cuentas de administrador sin necesidad de autenticación, exponiendo los sitios afectados a graves riesgos de seguridad.
Detalles Técnicos de la Vulnerabilidad
La vulnerabilidad, identificada como CVE-2025-3102, ha recibido una puntuación de severidad de 8,1 en la escala CVSS. El equipo de Wordfence, responsable del descubrimiento, ha confirmado que el fallo afecta a todas las versiones del plugin hasta la 1.0.78. La vulnerabilidad se origina en un error en la función authenticate_user(), específicamente en el manejo de valores vacíos durante la autenticación del REST API.
Vector de Ataque y Riesgos de Seguridad
El problema se manifiesta cuando el plugin no tiene configurada una clave API, dejando el parámetro secret_key sin valor. Los atacantes pueden explotar esta condición enviando un encabezado st_authorization vacío, lo que les permite acceder a endpoints protegidos del API. Esta brecha de seguridad facilita la creación no autorizada de cuentas con privilegios administrativos completos.
Campaña de Ataques Activos
Los analistas de WordPress Patchstack han documentado una serie de ataques automatizados que comenzaron inmediatamente después de la divulgación pública de la vulnerabilidad. Los atacantes están utilizando scripts automatizados para crear cuentas de administrador con credenciales aleatorias, comprometiendo sitios web vulnerables a gran escala.
Medidas de Mitigación y Recomendaciones de Seguridad
Los desarrolladores han lanzado la versión 1.0.79 de OttoKit que corrige esta vulnerabilidad crítica. Se recomienda encarecidamente a los administradores de sitios web implementar las siguientes medidas de seguridad:
- Actualizar inmediatamente el plugin OttoKit a la versión 1.0.79 o superior
- Realizar una auditoría exhaustiva de las cuentas de usuario administrativas
- Eliminar cualquier cuenta sospechosa o no autorizada
- Implementar un sistema de monitorización de seguridad continuo
Este incidente resalta la importancia crítica de mantener actualizados los componentes de WordPress y establecer protocolos robustos de seguridad. La implementación de actualizaciones automáticas y el uso de herramientas especializadas de seguridad WordPress son fundamentales para proteger los sitios web contra amenazas emergentes. Los administradores deben mantenerse vigilantes y adoptar un enfoque proactivo en la gestión de la seguridad de sus plataformas WordPress.
