Se ha descubierto una vulnerabilidad crítica de puerta trasera en el plugin LA-Studio Element Kit para Elementor, un complemento popular de WordPress utilizado por más de 20.000 sitios activos. Esta falla de seguridad permite a los atacantes crear cuentas de administrador sin necesidad de autenticación, poniendo en riesgo de toma completa a miles de sitios web.

Se ha descubierto una vulnerabilidad crítica de puerta trasera en el LA-Studio Element Kit para Elementor, un popular plugin de WordPress utilizado por más de 20.000 sitios activos.

Este fallo de seguridad permite a los atacantes crear cuentas de administrador sin autenticación, poniendo en riesgo de toma completa a miles de sitios web.

La vulnerabilidad, registrada como CVE-2026-0920, tiene una puntuación CVSS de 9.8, lo que la clasifica como una amenaza crítica que requiere acción inmediata por parte de los administradores de los sitios.

La puerta trasera fue introducida por un exempleado que dejó la empresa a finales de diciembre de 2025. Según LA-Studio, el desarrollador modificó el código del plugin poco antes de finalizar su empleo, insertando una funcionalidad oculta que permite la creación de cuentas de administrador no autorizadas.

Este incidente destaca la creciente preocupación por las amenazas internas y la importancia de los procesos de revisión de código durante las transiciones de empleados.

Los investigadores de seguridad Athiwat Tiprasaharn, Itthidej Aramsri y Waris Damkham descubrieron la vulnerabilidad el 12 de enero de 2026 y la reportaron a través del Programa de Recompensas por Errores de Wordfence.

Los analistas de Wordfence identificaron el fallo en el sistema de registro de usuarios del plugin, específicamente en la función ajax_register_handle. La vulnerabilidad fue parcheada rápidamente, con la versión 1.6.0 lanzada el 14 de enero de 2026, solo dos días después del informe inicial.

La vulnerabilidad existe en todas las versiones hasta la 1.5.6.3 (incluida) del plugin LA-Studio Element Kit para Elementor. Los atacantes pueden explotar este fallo enviando una solicitud de registro especialmente diseñada que contenga el parámetro lakit_bkrole.

Una vez exitosa, obtienen acceso administrativo completo al sitio WordPress objetivo, lo que les permite subir archivos maliciosos, modificar contenido, redirigir visitantes a sitios web dañinos o inyectar contenido spam.

Detalles de la vulnerabilidad:

Los investigadores de Wordfence señalaron que el código de la puerta trasera estaba deliberadamente ofuscado para evitar su detección durante las revisiones de seguridad. Esta técnica de evasión hizo que la funcionalidad maliciosa fuera más difícil de detectar, permitiendo que permaneciera oculta dentro del código base del plugin.

El código ofuscado apuntaba específicamente al proceso de registro de usuarios, añadiendo capacidades de administrador a las cuentas recién creadas cuando el parámetro oculto estaba presente.

El mecanismo de la puerta trasera ofuscada

La puerta trasera opera a través de una modificación cuidadosamente oculta dentro del sistema de manejo de registros del plugin.

Al examinar el código, los analistas de Wordfence encontraron que la función ajax_register_handle contenía lógica ofuscada que verificaba la presencia del parámetro lakit_bkrole durante el registro de usuarios.

Si se detectaba este parámetro, la función activaba filtros adicionales que asignaban privilegios de administrador a la cuenta recién creada.

La ofuscación incluía técnicas como manipulación de cadenas y llamadas a funciones indirectas, lo que hacía que el código malicioso se mezclara perfectamente con la funcionalidad legítima del plugin.

Este ingenioso disfraz permitió que la puerta trasera eludiera auditorías de seguridad estándar y permaneciera sin detectar hasta que los investigadores investigaron específicamente patrones sospechosos en el flujo de trabajo de registro.