Nueva vulnerabilidad «Click2Shell» en WordPress fuerza la instalación de temas y puede encadenarse para lograr la ejecución de código.

WordPress ha lanzado hoy parches para corregir una nueva serie de vulnerabilidades en el núcleo de su software; una de ellas podría permitir que un enlace web especialmente manipulado —al ser abierto por un administrador que haya iniciado sesión— instale un tema del directorio oficial de WordPress.org sin que nadie haga clic en el botón de instalación.

La firma de seguridad pwn.ai, cuyos investigadores reportaron el fallo, denomina «Click2Shell» a esta cadena de ataque. Por sí sola, la vulnerabilidad únicamente instala un tema legítimo elegido por el atacante, pero el equipo de investigación demostró que podía combinarse con una vulnerabilidad independiente presente en dicho tema para ejecutar código propio del atacante en el servidor.

La corrección se publicó el 17 de septiembre en la versión WordPress 7.1.1. Dado que se trata de una actualización de seguridad, WordPress recomienda instalarla de inmediato. No hay indicios de que el fallo se haya explotado en ataques reales.

El tema instalado permanece desactivado, por lo que la apariencia del sitio no cambia y nada parece anómalo. Para lograr la ejecución de código, era necesaria una segunda vulnerabilidad independiente en el tema instalado. Tal como señaló pwn.ai respecto al fallo en el núcleo: «El fallo del núcleo no acepta por sí solo un archivo ZIP de tema arbitrario».