Administrador sin contraseña: hackers obtienen acceso a sitios WordPress

En septiembre de 2024, los especialistas de Patchstack descubrieron vulnerabilidades críticas en el tema RealHome y el plugin Easy Real Estate para WordPress, que permiten a usuarios no autorizados obtener privilegios de administrador en los sitios afectados. A pesar de numerosos intentos de contactar al desarrollador (InspiryThemes), no se ha recibido respuesta.

Desde que se detectaron las vulnerabilidades, InspiryThemes ha lanzado tres actualizaciones, pero ninguna de ellas ha corregido los problemas. Las fallas permanecen sin solución y pueden ser explotadas por atacantes. Tanto el tema RealHome como el plugin Easy Real Estate son populares entre los propietarios de sitios de bienes raíces. El tema RealHome está instalado en más de 32,600 sitios web.

La primera vulnerabilidad, que afecta al tema RealHome, está registrada como CVE-2024-32444 (calificación CVSS: 9.8). Este fallo permite a un atacante escalar privilegios al nivel de administrador. La función inspiry_ajax_register, que permite a los usuarios registrarse en el sitio, no valida correctamente la autorización y carece de un token nonce para protegerse contra solicitudes falsificadas.

Si la función de registro de usuarios está activada, un atacante puede enviar una solicitud HTTP manipulada especificando el rol de "Administrador", eludiendo las medidas de seguridad existentes. Una vez obtenidos los privilegios de administrador, el cibercriminal puede tomar el control total del sitio, modificar su contenido, insertar scripts maliciosos y acceder a datos confidenciales de los usuarios.

La segunda vulnerabilidad está relacionada con el plugin Easy Real Estate y se encuentra registrada bajo el número CVE-2024-32555 (calificación CVSS: 9.8). Este fallo también permite a usuarios no autorizados escalar privilegios mediante la función de inicio de sesión con redes sociales (Social login). La vulnerabilidad surge debido a la falta de verificación de la vinculación del correo electrónico al usuario que intenta iniciar sesión. Así, conociendo el correo electrónico de un administrador, un atacante puede acceder al sitio sin necesidad de una contraseña y obtener control completo.

Dado que InspiryThemes no ha lanzado parches para solucionar estos problemas, se recomienda a los propietarios de sitios desactivar de inmediato el tema RealHome y el plugin Easy Real Estate. También es aconsejable deshabilitar el registro de nuevos usuarios para evitar la creación de cuentas no autorizadas. Dado que la información sobre estas vulnerabilidades ya es pública, los atacantes pueden comenzar a escanear activamente sitios web en busca de estas debilidades. Por lo tanto, es crucial tomar medidas de protección de forma inmediata.