Publicado en

Vulnerabilidad Crítica en Elementor: Cómo un Simple Clic Puede Comprometer su Sitio WordPress

•Publicado enVulnerabilidades

Alerta de Seguridad: Fallo CSRF de Alta Severidad en Elementor

Recientemente se han revelado detalles sobre una vulnerabilidad de seguridad crítica en el popular plugin Elementor Website Builder para WordPress. Este fallo, clasificado como de alta severidad con una puntuación CVSS de 8.8 sobre 10.0, podría permitir a un atacante no autenticado tomar el control total de un sitio web mediante la creación de cuentas de administrador fraudulentas.

¿Qué es el CSRF y por qué es peligroso?

Técnicamente, el fallo se conoce como Cross-Site Request Forgery (CSRF) o falsificación de solicitud en sitios cruzados. En términos empresariales, esto significa que un atacante puede engañar a un administrador legítimo de la web para que realice acciones involuntarias. En este caso específico, si un administrador con la sesión iniciada hace clic en un enlace malicioso (enviado por correo electrónico, chat o incluso en un comentario), el sistema ejecuta una orden para crear un nuevo usuario con privilegios de administrador para el atacante.

Alcance del Incidente

La vulnerabilidad afecta específicamente a las versiones 4.3.0 y 4.3.1 de Elementor. Según las estadísticas de WordPress.org, estas versiones están instaladas en más de 2 millones de sitios web activos. El riesgo es particularmente alto porque el ataque no requiere que el sitio web tenga JavaScript malicioso ni formularios complejos; un simple enlace oculto en un mensaje es suficiente para comprometer la infraestructura.

Detalles Técnicos del Exploit

El problema reside en el módulo Editor Events de Elementor, que omite la protección CSRF para ciertas solicitudes de la API REST cuando la cadena de texto «elementor/v1/events/» aparece en la dirección URL. Los atacantes pueden manipular esta URL para saltarse las defensas de seguridad y ejecutar comandos en el núcleo de WordPress o en otros plugins instalados, facilitando la toma de control del servidor.

Recomendaciones para Empresas y Administradores

Desde el equipo de ciberseguridad de Intedya, subrayamos la importancia de mantener una política estricta de actualizaciones para mitigar riesgos de ingeniería social y fallos técnicos. Para proteger su sitio web, siga estas instrucciones de inmediato:

  • Actualice Elementor: Asegúrese de que su plugin esté actualizado a la versión 4.3.2 o superior, donde este fallo ya ha sido corregido.
  • Gestión de Privilegios: Evite navegar por otros sitios web o abrir enlaces sospechosos mientras mantenga una sesión de administrador abierta en su panel de WordPress.
  • Auditoría de Usuarios: Revise la lista de usuarios de su sitio web para detectar cualquier cuenta sospechosa o desconocida con roles de administración.

La seguridad de su presencia digital depende de la rapidez de respuesta ante estas amenazas. En Intedya, recomendamos integrar procesos de gestión de vulnerabilidades como parte esencial de su estrategia de cumplimiento y gestión de riesgos.

Fuentes