Fuente base de datos: Wordfence Intelligence

Keyy Two Factor Authentication (like Clef) <= 1.2.3 - Authenticated (Subscriber+) Privilege Escalation via Account Takeover (escalada de privilegios)

PLUGIN HIGH CVE-2025-10293

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Keyy Two Factor Authentication, que permite la escalada de privilegios a través de la toma de control de cuentas. Esta falla afecta a versiones hasta la 1.2.3 y tiene una puntuación CVSS de 8.8.

Contexto técnico

La vulnerabilidad se clasifica como escalada de privilegios (privesc) y se produce en el contexto de usuarios autenticados con rol de suscriptor o superior. El fallo permite a un atacante obtener privilegios más altos de los que debería tener, comprometiendo así la integridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante autenticado elevar sus privilegios, lo que podría resultar en el acceso no autorizado a datos sensibles y la capacidad de realizar acciones administrativas en el sitio web, poniendo en riesgo la seguridad general del negocio.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se lleva a cabo mediante la manipulación de las credenciales de usuario o aprovechando configuraciones inadecuadas del plugin, lo que permite a un atacante autenticado escalar sus privilegios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Keyy a la versión 1.2.3 o superior. Además, se debe revisar la configuración de permisos de los usuarios y aplicar medidas de seguridad adicionales, como la implementación de políticas de contraseñas robustas.

Señales de detección

Señales de posible explotación incluyen intentos inusuales de acceso por parte de usuarios autenticados, cambios inesperados en los permisos de usuario y registros de actividad sospechosa en el sitio web.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.3 del plugin Keyy Two Factor Authentication. Es crucial verificar que todas las instalaciones que utilizan este plugin estén actualizadas.

Vulnerabilidades relacionadas

HIGH PLUGIN

acymailing

AcyMailing 9.11.0 - 10.8.1 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation

CRITICAL PLUGIN

riaxe-product-customizer

Riaxe Product Customizer <= 2.1.2 - Missing Authorization to Unauthenticated Arbitrary Options Update to Privilege Escalation via 'install-imprint' AJAX Action

CRITICAL PLUGIN

barcode-scanner-lite-pos-to-manage-products-inventory-and-orders

Barcode Scanner (+Mobile App) <= 1.11.0 - Unauthenticated Privilege Escalation via Insecure Token Authentication

HIGH PLUGIN

one-click-login-as-user

Login as User <= 1.0.3 - Authenticated (Subscriber+) Privilege Escalation via 'oclaup_original_admin' Cookie

HIGH PLUGIN

bp-groupblog

BuddyPress Groupblog <= 1.9.3 - Authenticated (Subscriber+) Privilege Escalation to Administrator via Group Blog IDOR

CRITICAL PLUGIN

wp-base-booking-of-appointments-services-and-events

WP BASE Booking of Appointments, Services and Events <= 5.9.0 - Unauthenticated Privilege Escalation

HIGH PLUGIN

woocommerce-multi-locations-inventory-management

MultiLoca <= 4.2.15 - Authenticated (Subscriber+) Privilege Escalation

CRITICAL PLUGIN

worpit-admin-dashboard-plugin

iControlWP <= 5.5.3 - Unauthenticated Privilege Escalation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto