Ciberseguridad

Una fallo en el plugin SureTriggers, instalado en más de 100.000 sitios WordPress, pone en peligro la ciberseguridad de estos sitios. La vulnerabilidad, identificada como CVE-2025-3102, permite a atacantes crear cuentas de administrador sin necesidad de autenticación si el plugin no ha sido correctamente configurado con una clave API.

Aunque el número total de instalaciones afectadas es elevado, el exploit solo es efectivo en sitios que tienen el plugin instalado y activado, pero sin configurar, una situación más común de lo que debería ser.

El investigador de seguridad conocido como mikemyers fue quien detectó y notificó la vulnerabilidad a través del Wordfence Bug Bounty Program, recibiendo una recompensa de 1.024 dólares por su hallazgo. Este tipo de colaboración con investigadores independientes es una pieza clave en la estrategia de seguridad multicapa, fundamental para proteger millones de sitios que dependen de WordPress.

¿Qué es SureTriggers y por qué representa un riesgo?

SureTriggers es una plataforma de automatización que permite conectar servicios, aplicaciones y otros plugins dentro de WordPress. Está diseñada para facilitar flujos de trabajo entre distintas herramientas digitales, algo muy atractivo para desarrolladores y administradores de sitios.

Sin embargo, su popularidad también la convierte en un objetivo valioso para los ciberatacantes. En versiones hasta la 1.0.78, el plugin contiene un error en la función authenticate_user() que no verifica si el valor del encabezado de autenticación está vacío. Esto significa que si la instalación no tiene una clave API configurada, el atacante puede acceder a funciones protegidas del plugin simplemente enviando un valor vacío.

¿Cómo funciona el ataque?

El fallo permite a un actor malicioso explotar el punto de entrada automation/action del plugin mediante el uso de la API REST de WordPress. La función authenticate_user() valida el encabezado st_authorization, pero no comprueba si está vacío, lo que provoca que la condición se cumpla si el plugin no tiene una clave guardada. En consecuencia, el atacante obtiene acceso al endpoint sin autenticación.

Desde ahí, puede desencadenar acciones automatizadas como, por ejemplo, crear una nueva cuenta con permisos de administrador. Una vez dentro, el atacante tiene control total del sitio: puede subir temas o plugins maliciosos, alterar contenidos, redirigir a los usuarios a webs fraudulentas o inyectar spam en el sitio.

Además del peligro directo que implica el acceso no autorizado a la administración de un sitio, la vulnerabilidad podría combinarse con otros fallos presentes en el sistema, como vulnerabilidades de instalación arbitraria de plugins. Esto permitiría a un atacante instalar SureTriggers en un sitio donde no estaba previamente activo, abrir la puerta al exploit y ejecutar el ataque completo.

Un fallo grave que ya está siendo explotado

Según Wordfence Intelligence, la vulnerabilidad fue confirmada el 1 de abril de 2025, fecha en la que también se lanzó una regla de firewall para proteger a los usuarios de las versiones Premium, Care y Response del servicio. Los usuarios de la versión gratuita recibirán la protección a partir del 1 de mayo de 2025.

El mismo día 3 de abril, tras recibir el informe completo, el equipo desarrollador del plugin, Brainstorm Force, lanzó la versión 1.0.79, ya corregida. La respuesta fue rápida y efectiva, pero la exposición durante las semanas previas ya había puesto en riesgo a miles de sitios.

¿Qué deben hacer los administradores de WordPress?

La recomendación más urgente es actualizar inmediatamente a la versión 1.0.79 de SureTriggers, incluso si el plugin no está en uso activo. Tener una versión antigua instalada, pero no configurada es suficiente para dejar la puerta abierta al exploit.

Además, se aconseja:

• Revisar los usuarios creados recientemente en el panel de administración.

• Eliminar cuentas sospechosas o desconocidas con permisos de administrador.

• Comprobar la configuración del plugin, asegurándose de que cuente con una clave API válida.

• Usar firewalls y herramientas de protección como Wordfence para monitorizar intentos de acceso malicioso.