Resumen ejecutivo
Se ha identificado una vulnerabilidad en el núcleo de WordPress y WordPress MU anterior a la versión 2.8.1, que permite la enumeración de nombres de usuario. Esta vulnerabilidad tiene una severidad media con un CVSS de 5.3.
Fuente base de datos: Wordfence Intelligence
WordPress Core & WordPress MU < 2.8.1 - Username Enumeration
WORDPRESS
MEDIUM
CVE-2009-2336
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
La vulnerabilidad permite a un atacante obtener una lista de nombres de usuario válidos mediante la explotación de ciertas peticiones HTTP. Esto se debe a que el sistema no gestiona adecuadamente las respuestas a las solicitudes de verificación de nombres de usuario.
Impacto potencial
El impacto puede ser significativo, ya que la enumeración de nombres de usuario facilita ataques de fuerza bruta o de phishing, comprometiendo la seguridad de las cuentas de usuario y, por ende, la integridad del sitio web.
Vector de explotación
Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes específicas que revelan si un nombre de usuario existe o no, lo que les permite construir una lista de usuarios potencialmente vulnerables.
Mitigación recomendada
Actualizar WordPress a la versión 2.8.1 o superior es crucial para mitigar esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales como limitación de intentos de inicio de sesión y autenticación de dos factores.
Señales de detección
Señales de riesgo incluyen un aumento en los intentos de inicio de sesión fallidos y patrones de tráfico inusuales que buscan validar nombres de usuario a través del sistema.
Alcance afectado
Las versiones de WordPress y WordPress MU anteriores a la 2.8.1 son las que se ven afectadas por esta vulnerabilidad.
Vulnerabilidades relacionadas
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.9.1 - Cross-Site Scripting via Client-Side Template Override in Admin Area
MEDIUM
WORDPRESS
wp-core
WordPress 6.9 - 6.9.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Note Creation via REST API
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.9.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via Navigation Menu Items
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.9.1 - Unauthenticated Blind Server-Side Request Forgery via XML-RPC Pingback Discovery
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.9.1 - Authenticated (Author+) XML External Entity Injection via getID3 Library Media Upload
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.9.1 - Missing Authorization to Authenticated (Author+) Sensitive Information Disclosure via query-attachments AJAX Endpoint
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.8.2 - Authenticated (Author+) Stored Cross-Site Scripting
MEDIUM
WORDPRESS
wp-core
WordPress <= 6.8.2 - Authenticated (Contributor+) Sensitive Information Exposure
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto