WordPress Core < 5.7.1 - XXE Injection - version 4.7.20

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección XXE en el núcleo de WordPress, que afecta a las versiones anteriores a la 5.7.1. Esta vulnerabilidad puede permitir a un atacante acceder a información sensible del servidor.

Contexto técnico

La vulnerabilidad se basa en una inyección de entidades externas (XXE), que permite a un atacante manipular el procesamiento de XML y acceder a archivos del sistema o realizar peticiones no autorizadas. Esto se produce en el núcleo de WordPress, lo que amplía la superficie de ataque a cualquier instalación que utilice versiones vulnerables.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante obtener acceso a datos confidenciales, lo que podría comprometer la integridad y la confidencialidad de la información del negocio. Esto puede resultar en pérdidas financieras y daños a la reputación.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que contienen XML especialmente diseñados, lo que les permite acceder a información sensible del servidor o realizar acciones no autorizadas.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 4.7.20. Actualiza WordPress core a la versión 4.7.20 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 4.7.20, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de posible explotación incluyen solicitudes HTTP que contienen estructuras XML inusuales o errores en los registros del servidor relacionados con el procesamiento de XML.

Alcance afectado

Las versiones de WordPress anteriores a la 5.7.1 son las que se consideran afectadas. La vulnerabilidad fue corregida en la versión 5.7.1 y también se solucionó en la versión 4.7.20.