WordPress Core < 5.5.2 - Privilege Escalation via XML-RPC (escalada de privilegios) - version 3.7.35

Resumen ejecutivo

Se ha identificado una vulnerabilidad de escalada de privilegios en el núcleo de WordPress, que afecta a versiones anteriores a la 5.5.2. Este fallo, clasificado como de alta gravedad, puede permitir a un atacante obtener permisos elevados de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de solicitudes XML-RPC, lo que permite a un atacante ejecutar acciones que normalmente requerirían privilegios más altos. La superficie de ataque se centra en el acceso a la funcionalidad XML-RPC, que es utilizada para la comunicación remota con el sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante obtener acceso no autorizado a funciones administrativas. Esto podría resultar en la modificación de contenido, la instalación de malware o la manipulación de datos sensibles, afectando gravemente la reputación y operatividad del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz XML-RPC, utilizando técnicas de fuerza bruta o ataques automatizados para escalar privilegios sin autorización.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.7.35. Actualiza WordPress core a la versión 3.7.35 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.7.35, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Se deben monitorizar los registros de acceso en busca de patrones inusuales de solicitudes a la API XML-RPC, así como cualquier intento de acceso a funciones administrativas sin las credenciales adecuadas.

Alcance afectado

Las versiones de WordPress anteriores a la 5.5.2 son vulnerables. Se recomienda a todos los administradores de sitios que verifiquen la versión de su instalación y realicen las actualizaciones necesarias.