Una falla de seguridad de alta severidad recientemente revelada que impacta Ototocito<\/a> (anteriormente Suretriggers) ha sido de explotaci\u00f3n activa dentro de unas pocas horas posteriores a la divulgaci\u00f3n p\u00fablica.<\/p>\n La vulnerabilidad, rastreada como CVE-2025-3102<\/strong> (Puntuaci\u00f3n CVSS: 8.1), es un error de derivaci\u00f3n de autorizaci\u00f3n que podr\u00eda permitir que un atacante cree cuentas de administrador bajo ciertas condiciones y tome el control de sitios web susceptibles.<\/p>\n “El complemento de plataforma de automatizaci\u00f3n todo en uno: todo en uno para WordPress es vulnerable a un bypass de autenticaci\u00f3n que conduce a la creaci\u00f3n de cuenta administrativa debido a una verificaci\u00f3n de valor vac\u00edo faltante en el valor ‘Secret_Key’ en la funci\u00f3n ‘Auteticate_User’ en todas las versiones hasta e incluye, 1.0.78”, Wordfence’s Istv\u00e1n M\u00e1rton dicho<\/a>.<\/p>\n “Esto hace posible que los atacantes no autenticados creen cuentas de administrador en el sitio web de destino cuando el complemento est\u00e1 instalado y activado, pero no est\u00e1 configurado con una tecla API”.<\/p>\n La explotaci\u00f3n exitosa de la vulnerabilidad podr\u00eda permitir que un atacante obtenga un control completo sobre un sitio de WordPress y aproveche el acceso no autorizado para cargar complementos arbitrarios, hacer modificaciones maliciosas para servir malware o spam, e incluso redirigir a los visitantes del sitio a otros sitios web de Sketchy.<\/p>\n Investigador de seguridad Michael Mazzolini<\/a> (tambi\u00e9n conocido como Mikemyers) ha sido acreditado por descubrir e informar la falla el 13 de marzo de 2025. El problema se ha abordado en Versi\u00f3n 1.0.79<\/a> del complemento lanzado el 3 de abril de 2025.<\/p>\n Ottokit ofrece la capacidad de los usuarios de WordPress para conectar diferentes aplicaciones y complementos a trav\u00e9s de flujos de trabajo que se pueden usar para automatizar tareas repetitivas. <\/p>\n Si bien el complemento tiene m\u00e1s de 100,000 instalaciones activas, es observar que solo un subconjunto de los sitios web es realmente explotable debido al hecho de que depende del complemento para estar en un estado no configurado a pesar de ser instalado y activado.<\/p>\n Dicho esto, los atacantes ya han subido al tren de explotaci\u00f3n, intentando capitalizar r\u00e1pidamente la divulgaci\u00f3n para crear cuentas de administrador falsas con el nombre “XTW1838783BC”, por Patchstack.<\/p>\n “Dado que est\u00e1 al azar, es muy probable que asuma que el nombre de usuario, la contrase\u00f1a y el alias de correo electr\u00f3nico ser\u00e1n diferentes para cada intento de explotaci\u00f3n”, la compa\u00f1\u00eda de seguridad de WordPress dicho<\/a>.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Vulnerabilidad-de-creacion-de-administrador-de-complementos-de-Ottokit-WordPress.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n