loader-utils (JS package) < 3.2.1 - Regular Expression Denial of Service en Restricted Site Access (vulnerabilidad) - version 7.3.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Denegación de Servicio por Expresión Regular (ReDoS) en el paquete JS 'loader-utils' en versiones anteriores a 3.2.1. Esta vulnerabilidad presenta un riesgo bajo, con un CVSS de 3.7.

Contexto técnico

La vulnerabilidad se origina en el uso ineficiente de expresiones regulares en el paquete 'loader-utils', que puede provocar un consumo excesivo de recursos al procesar entradas maliciosas. Esto afecta a los plugins que dependen de esta librería, como 'restricted-site-access'.

Impacto potencial

Aunque la severidad se clasifica como baja, la explotación de esta vulnerabilidad podría llevar a un rendimiento degradado del sitio web, afectando la disponibilidad del servicio y potencialmente impactando en la experiencia del usuario.

Vector de explotación

Los atacantes pueden enviar entradas diseñadas que aprovechan las expresiones regulares ineficientes, lo que provoca que el servidor consuma recursos de manera excesiva hasta llegar a un estado de denegación de servicio.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 7.3.5. Actualiza restricted-site-access a la versión 7.3.5 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 7.3.5, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorear el uso de recursos del servidor y la respuesta del sitio web ante entradas inusuales. Registros de errores o caídas del servidor pueden indicar un intento de explotación.

Alcance afectado

Las versiones del plugin 'restricted-site-access' que dependen de 'loader-utils' anteriores a la versión 3.2.1 están afectadas. La versión fija es 7.3.5.