Vulnerabilidad crítica en el plugin WP-Freeio de WordPress

Hackers logran explotan una Vulnerabilidad Crítica en el Plugin WP-Freeio de WordPress. Wordfence, una de las principales empresas de seguridad para WordPress, ha emitido una alerta urgente tras detectar que atacantes maliciosos están explotando activamente una vulnerabilidad de escalada de privilegios en el popular plugin WP-Freeio. Este fallo de seguridad, clasificado como Crítico (CVSS 9.8) y con el identificador CVE-2025-11533, permite a usuarios no autenticados obtener acceso completo de administrador en los sitios web afectados.

El Fallo de Seguridad

El plugin WP-Freeio, utilizado para crear sitios de mercado y plataformas de freelancers con WordPress, contiene una grave omisión en su proceso de registro de usuarios. La vulnerabilidad reside en la función process_register(), la cual no restringe los roles de usuario que un atacante puede solicitar durante el proceso de registro.

Consecuencia Directa: Un atacante puede simplemente especificar el rol de ‘administrador’ durante la creación de una cuenta y, sin necesidad de autenticación previa, obtener el control total del sitio web.Con acceso de administrador, los atacantes pueden realizar las acciones que quieran como:

• Subir archivos maliciosos (como backdoors o shells PHP).
• Modificar o eliminar contenido del sitio.
• Acceder a datos sensibles.
• Redirigir a los visitantes a sitios fraudulentos.

Solución y Recomendaciones Urgentes

La vulnerabilidad afecta a todas las versiones de WP-Freeio hasta la 1.2.21 inclusive. Wordfence y otros expertos en seguridad están instando a los usuarios a tomar medidas inmediatas, dado que los intentos de explotación ya han sido detectados en masa desde finales de octubre.

• Acción Recomendada: Versión Segura
• Riesgo Actual: Actualización INMEDIATA a WP-Freeio versión 1.2.22 o superior
• Prioridad Máxima: Los administradores de sitios que utilicen WP-Freeio deben actualizar inmediatamente a la versión 1.2.22. Esta versión parchea el fallo al implementar una validación estricta para restringir los roles de usuario que pueden ser asignados durante el registro.
• Monitoreo: Se recomienda encarecidamente revisar los logs de seguridad y los registros de nuevos usuarios en busca de actividad sospechosa, especialmente cuentas de administrador recién creadas.

La rápida y generalizada explotación de este fallo y otros similares en los CMS, subraya la importancia crítica de mantener todos los plugins de WordPress (núcleo, plugins y temas) actualizados a sus versiones más recientes para evitar este tipo de problemas.

Nuestros servicios de mantenimiento web le proporcionan la seguridad y tranquilidad de reducir al máximo este tipo de riesgos con acciones preventivas constantemente, copias de seguridad y seguimiento continuado de todas las vulnerabilidades y fallos de seguridad que van apareciendo en este tipo de CRM.