WordPress Core 6.9 - 7.0.1 - Remote Code Execution via REST API Batch Request Route Confusion (ejecucion remota de codigo (RCE)) - version 6.9.5

Resumen ejecutivo

Se ha detectado una vulnerabilidad crítica en WordPress (CVE-2026-63030) que permite la ejecución remota de código a través de la confusión en la ruta de solicitudes por la REST API. Esta falla afecta a las versiones 6.9 a 7.0.1, poniendo en riesgo la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se origina en la REST API de WordPress, donde un atacante puede confundir las rutas de solicitudes en lotes, lo que permite la ejecución de código malicioso. La exposición ocurre en las versiones 6.9 a 7.0.1, que no cuentan con las medidas de mitigación adecuadas.

Impacto potencial

El impacto de esta vulnerabilidad es crítico, ya que permite a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la toma de control completo del sitio web y comprometer datos sensibles. Esto puede afectar la reputación del negocio y la confianza del cliente.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes maliciosas a la REST API, aprovechando la confusión en la gestión de rutas de solicitudes por lotes.

Mitigación recomendada

Actualizar a la versión 6.9.5 o superior de WordPress para corregir la vulnerabilidad. Revisar los registros de acceso para detectar actividades sospechosas relacionadas con la REST API. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web, para filtrar solicitudes maliciosas.

Señales de detección

Señales de riesgo incluyen patrones inusuales en los registros de acceso a la REST API y errores relacionados con la ejecución de código o rutas de solicitud.

Alcance afectado

Las versiones afectadas son WordPress 6.9 a 7.0.1. No se han confirmado otros escenarios o versiones que presenten esta vulnerabilidad.