WordPress Core < 5.5.2 - Privilege Escalation via XML-RPC (escalada de privilegios) - version 3.7.35

Resumen ejecutivo

Se ha identificado una vulnerabilidad de escalada de privilegios en el núcleo de WordPress anterior a la versión 5.5.2, que permite a un atacante obtener permisos no autorizados. Esta vulnerabilidad tiene una severidad alta, con un puntaje CVSS de 8.8.

Contexto técnico

El fallo se origina en la funcionalidad XML-RPC del núcleo de WordPress, que permite la comunicación remota. La falta de validación adecuada en las solicitudes puede permitir a un atacante elevar sus privilegios dentro del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante obtener acceso no autorizado a funciones administrativas, comprometiendo así la seguridad del sitio y potencialmente afectando la integridad de los datos y la confianza del usuario.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de XML-RPC, lo que les permite ejecutar acciones restringidas en el sitio web.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.7.35. Actualiza WordPress core a la versión 3.7.35 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.7.35, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de posible explotación incluyen un aumento inusual en las solicitudes a la API XML-RPC y registros de intentos de acceso a funciones administrativas sin autenticación adecuada.

Alcance afectado

Las versiones de WordPress anteriores a la 5.5.2 son vulnerables. La versión 3.7.35 también se considera segura tras la corrección del fallo.