WordPress Core < 5.9.2 & Gutenberg < 12.7.2 - Prototype Pollution via Block Editor (vulnerabilidad) - version 3.7.38

Resumen ejecutivo

Se ha identificado una vulnerabilidad de contaminación de prototipos en el núcleo de WordPress y Gutenberg, que afecta a versiones anteriores a la 5.9.2 y 12.7.2, respectivamente. Esta vulnerabilidad presenta un nivel de severidad medio, con un CVSS de 5.4.

Contexto técnico

El fallo se origina en el editor de bloques, donde un atacante puede manipular objetos JavaScript, lo que puede llevar a la ejecución de código malicioso. La superficie de ataque se centra en las interacciones del usuario con el editor de bloques, lo que facilita la explotación mediante entradas manipuladas.

Impacto potencial

Si se explota, esta vulnerabilidad podría permitir a un atacante modificar el comportamiento de la aplicación, comprometiendo la integridad de los datos y la seguridad del sitio. Esto podría resultar en la pérdida de confianza por parte de los usuarios y daños en la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la inyección de datos manipulados en el editor de bloques, lo que les permite alterar el comportamiento de la aplicación sin necesidad de autenticación previa.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.7.38. Actualiza WordPress core a la versión 3.7.38 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.7.38, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de riesgo pueden incluir comportamientos inusuales en el editor de bloques, modificaciones inesperadas en los objetos JavaScript y alertas de seguridad de plugins relacionados con la protección de WordPress.

Alcance afectado

Las versiones de WordPress anteriores a la 5.9.2 y Gutenberg anteriores a la 12.7.2 están afectadas. Es crucial que los administradores de sitios verifiquen sus versiones para asegurar que están protegidos contra esta vulnerabilidad.