Investigadores de seguridad de Wordfence han identificado una vulnerabilidad crítica de escalación de privilegios (CVE-2025-5931) en el plugin Dokan Pro para WordPress, que afecta a más de 15,000 sitios web. Esta vulnerabilidad permite a atacantes autenticados con permisos de vendedor tomar el control completo de sitios WordPress al cambiar contraseñas de administradores.
Puntuación CVSS: 8.8 (Alta)
Versiones Afectadas: Dokan Pro ≤ 4.0.5
Versión Parcheada: 4.0.6
Recompensa Bug Bounty: $966.00
Análisis Técnico de la Vulnerabilidad
Descripción del Problema
El plugin Dokan Pro es vulnerable a escalación de privilegios mediante toma de control de cuentas en todas las versiones hasta la 4.0.5 inclusive, debido a que el plugin no valida correctamente la identidad del usuario antes de actualizar su contraseña durante un restablecimiento de contraseña del personal.
Mecanismo de Ataque
La vulnerabilidad reside en la función handle_staff() de la clase Dokan_Staffs. El problema surge porque:
- Control Insuficiente de Identidad: La función no verifica adecuadamente quién puede modificar las contraseñas de otros usuarios.
- Manipulación de Metadatos: Los atacantes pueden asignar cualquier
vendor_ida cuentas de personal. - Función Comprometida: La función
dokan_get_current_user_id()devuelve el ID del vendedor como ID del usuario actual para usuarios del personal.
Flujo de Explotación
- Un atacante con permisos de vendedor crea un usuario de personal
- Asigna el administrador como vendedor usando el valor
_vendor_id - Se autentica como el usuario de personal
- Cambia la contraseña del administrador mediante actualización de perfil
- Obtiene acceso administrativo completo al sitio
Impacto y Riesgos
Consecuencias Inmediatas
- Toma de Control Completa: Acceso administrativo total al sitio WordPress
- Manipulación de Contenido: Capacidad de modificar páginas y posts
- Instalación de Malware: Posibilidad de cargar plugins y temas maliciosos
- Inyección de Backdoors: Creación de puertas traseras permanentes
Vectores de Escalación
- Redirección de usuarios a sitios maliciosos
- Inyección de contenido spam
- Compromiso de datos sensibles
- Uso del sitio para distribución de malware
Cronograma de Divulgación
- 5 de junio, 2025: Recepción del reporte de vulnerabilidad
- 9 de junio, 2025: Validación y contacto inicial con desarrolladores
- 10 de junio, 2025: Protección desplegada para usuarios Premium de Wordfence
- 12 de junio, 2025: Registro de desarrolladores en portal de gestión
- 17 de junio, 2025: Divulgación completa a desarrolladores
- 10 de julio, 2025: Protección desplegada para usuarios gratuitos
- 6 de agosto, 2025: Liberación del parche versión 4.0.6
Medidas de Mitigación
Acciones Inmediatas Requeridas
- Actualización Urgente: Actualizar a Dokan Pro versión 4.0.6 o posterior
- Auditoría de Usuarios: Revisar cuentas de personal y vendedores recientes
- Cambio de Contraseñas: Modificar contraseñas de administradores por precaución
- Monitoreo de Logs: Revisar registros de actividad inusual
Protecciones Disponibles
- Wordfence Premium/Care/Response: Protección activa desde el 10 de junio
- Wordfence Free: Protección disponible desde el 10 de julio
- Reglas de Firewall: Implementadas automáticamente para bloquear exploits
FAQ – Preguntas Frecuentes
¿Qué es Dokan Pro y por qué es relevante?
Dokan Pro es un plugin de WordPress para crear marketplaces multivendedor, utilizado por más de 15,000 sitios web. Permite a los clientes convertirse en vendedores y gestionar sus propias tiendas, incluyendo la capacidad de añadir personal.
¿Necesito acceso administrativo para explotar esta vulnerabilidad?
No. La vulnerabilidad puede ser explotada por cualquier usuario autenticado con permisos de vendedor, que por defecto pueden ser obtenidos por clientes regulares en la mayoría de instalaciones de Dokan Pro.
¿Cómo puedo verificar si mi sitio está afectado?
Verifica la versión de Dokan Pro en tu panel de WordPress. Si es 4.0.5 o anterior, tu sitio es vulnerable. También puedes revisar los logs de Wordfence para detectar intentos de exploit.
¿La protección de Wordfence es suficiente sin actualizar?
Aunque las reglas de firewall de Wordfence proporcionan protección, se recomienda encarecidamente actualizar a la versión parcheada (4.0.6) para una seguridad completa y a largo plazo.
¿Qué debo hacer si sospecho que mi sitio fue comprometido?
- Actualiza inmediatamente a la versión 4.0.6
- Cambia todas las contraseñas de administrador
- Revisa usuarios recientemente creados o modificados
- Escanea el sitio en busca de malware
- Considera restaurar desde una copia de seguridad limpia si es necesario
¿Esta vulnerabilidad afecta la versión gratuita de Dokan?
Esta vulnerabilidad específica (CVE-2025-5931) afecta únicamente a Dokan Pro. Sin embargo, siempre se recomienda mantener todos los plugins actualizados independientemente de la versión.
¿Cómo reporto vulnerabilidades similares?
Wordfence mantiene un programa activo de recompensas por bugs. Los investigadores pueden reportar vulnerabilidades a través del Wordfence Bug Bounty Program con recompensas que pueden llegar hasta $31,200 por vulnerabilidad.
¿Qué hacer si no puedo actualizar inmediatamente?
Si no puedes actualizar inmediatamente:
- Instala Wordfence (gratuito o premium) para obtener protección de firewall
- Revisa y limita permisos de vendedores
- Monitorea logs de acceso y actividad inusual
- Programa la actualización lo antes posible
Esta información se basa en el reporte oficial de Wordfence y ha sido contrastada con fuentes independientes para garantizar su precisión. Se recomienda a todos los administradores de sitios WordPress con Dokan Pro implementar las medidas de seguridad descritas inmediatamente.
