WordPress Core < 4.0.1 - Denial of Service via Long Password (vulnerabilidad) - version 3.7.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de denegación de servicio en el núcleo de WordPress en versiones anteriores a la 4.0.1. Esta vulnerabilidad permite a un atacante provocar un fallo en el sistema mediante contraseñas excesivamente largas.

Contexto técnico

El fallo se encuentra en la forma en que WordPress maneja las contraseñas largas, lo que puede resultar en un consumo excesivo de recursos del servidor. Esta vulnerabilidad afecta principalmente a la autenticación y al proceso de inicio de sesión.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a una denegación de servicio, afectando la disponibilidad del sitio web y potencialmente causando pérdidas económicas y reputacionales para los negocios que dependen de su presencia en línea.

Vector de explotación

Un atacante puede explotar esta vulnerabilidad enviando solicitudes de inicio de sesión con contraseñas que exceden el límite razonable, lo que puede provocar que el servidor se vuelva inestable o se bloquee.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.7.5. Actualiza WordPress core a la versión 3.7.5 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.7.5, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de riesgo incluyen un aumento inusual en los intentos de inicio de sesión fallidos, así como un uso elevado de recursos del servidor durante esos intentos.

Alcance afectado

Todas las instalaciones de WordPress anteriores a la versión 4.0.1 son susceptibles a esta vulnerabilidad, siendo la versión 3.7.5 la última que corrige este problema.