WordPress 7.1.1 llegó de emergencia para tapar fallos de seguridad que ponen en riesgo miles de páginas web. Once agujeros de código quedaron al descubierto, obligando al equipo del gestor de contenidos a lanzar una advertencia clara: hay que actualizar de inmediato. Si manejas un portal o una tienda online, ignorar este aviso no es una opción viable hoy.
El boletín oficial publicado en wordpress.org confirma que esta entrega menor no solo contiene parches de mantenimiento rutinario. Detrás de esta revisión se esconden problemas serios de ejecución remota, omisión de permisos y exposición de datos privados. Un fallo en total. Una cifra que activa todas las alarmas en cualquier servidor de producción.
Nadie quiere que un atacante tome el control de sus publicaciones mediante comentarios o temas inactivos.
Vulnerabilidades críticas en el núcleo del sistema
La amenaza más delicada involucra ataques de cross-site scripting almacenado, conocidos en la industria como XSS. Uno de los fallos detectados residía directamente en la función wpautop(), una pieza básica del procesador de texto. Un usuario no registrado podía colar scripts dañinos en un simple comentario; si el moderador aprobaba el texto sin sospechar, el código malicioso se ejecutaba automáticamente en el navegador de quien visitara la entrada.
Otro vector de ataque comprometía la API HTML mediante la función set_modifiable_text(). Los atacantes descubrieron cómo romper la estructura de los comentarios mediante secuencias de cierre abrupto. A esto se sumó un agujero en temas con soporte para encabezados personalizados. La combinación de estas grietas abría la puerta al secuestro de sesiones y al desvío silencioso de tráfico hacia dominios externos.
La lista continúa con problemas de control de acceso. Bastaba una URL armada con maña para forzar al sistema a instalar y previsualizar temas inactivos del repositorio oficial. Aunque no inyectaba software externo directamente, permitía alterar la vista del portal y desestabilizar entornos activos.
Salto de directorio y brechas de permisos internos
Un equipo de seguridad vinculado a Anthropic descubrió un fallo de salto de directorio (path traversal) dentro del Controlador de Plantillas WP REST. Esta brecha permitía a usuarios autenticados saltarse las rutas fijadas por el servidor, alcanzando archivos confidenciales almacenados en carpetas restringidas. Dependiendo de los permisos asignados en el hosting, alguien con malas intenciones podía husmear en áreas prohibidas del sistema.
Las jerarquías internas de redacción tampoco estaban a salvo. Varios fallos facilitaban que cuentas con rol de Colaborador sobrescribieran entradas ajenas o descubrieran slugs de borradores protegidos. Peor aún: los metadatos de archivos adjuntos revelaban el título de artículos privados. La interfaz XML-RPC, objetivo constante de ataques de fuerza bruta, también necesitó un ajuste severo para bloquear publicaciones indebidas que saltaban las restricciones de edición de estilos CSS. Incluso se detectó que usuarios registrados podían alterar la jerarquía de notas internas entre moderadores, rompiendo los registros editoriales.
Rendimiento y mejoras en el Editor de Bloques
Aparte del blindaje defensivo, la entrega suma diecisiete correcciones de errores directas al núcleo y diecinueve ajustes dedicados al Editor de Bloques de Gutenberg. Se reducen fallos de renderizado en páginas densas y se corrigen bloqueos al procesar metadatos pesados, lo que devuelve estabilidad a la interfaz de edición diaria.
El despliegue automático ya empezó a llegar a los servidores que admiten descargas en segundo plano. Quienes operan despliegues bajo control manual deben acudir a la sección Escritorio, pulsar en Actualizaciones y completar el proceso manualmente sin demoras.
El equipo central trasladó estos parches a ramas antiguas hasta la versión 4.7 para mitigar desastres mayores. Sin embargo, únicamente la versión 7.1.1 cuenta con soporte técnico activo y pruebas de estabilidad completas. Mantenerse en versiones viejas deja abierta la puerta a ataques automatizados que ya rastrean estos agujeros conocidos en la red.
Descubre más desde Tecnología Geeks- Noticias Tecnológicas y gadgets
Suscríbete y recibe las últimas entradas en tu correo electrónico.
💬 ¡Tu opinión importa!
¿Qué piensas sobre esta publicación? Únete a la conversación en nuestro foro y comparte tu punto de vista.
👉 Ir al Foro ➕ Regístrate y Abre un Nuevo Tema
