Una falla de seguridad crítica en el popular plugin de WordPress Advanced Custom Fields: Extended ha puesto en riesgo a más de 100.000 sitios web de sufrir una toma completa.

La vulnerabilidad, registrada como CVE-2025-14533, afecta a las versiones del plugin hasta la 0.9.2.1 (incluida) y tiene una puntuación CVSS de 9.8 (Crítica).

Si no se parchea, permite que un atacante no autenticado obtenga acceso de nivel administrador en sitios vulnerables al abusar de la forma en que los formularios de registro de usuarios manejan los roles.

El problema surge de cómo el plugin gestiona la creación de usuarios a través de formularios personalizados. Los propietarios de sitios pueden construir formularios de registro o perfil usando grupos de campos que recopilan datos como nombre de usuario, correo electrónico, contraseña y rol de usuario.

En condiciones normales, la selección de roles debería estar estrictamente controlada para que solo roles seguros, como suscriptor, estén disponibles para nuevos usuarios. En las versiones vulnerables, este control falla, abriendo la puerta a abusos.

Los analistas de Wordfence identificaron que la acción de formulario insert_user del plugin no restringe adecuadamente qué roles pueden asignarse durante el registro cuando un campo de rol está mapeado.

Este descuido significa que un atacante puede enviar una solicitud manipulada que establezca su rol como administrator, incluso si el formulario parece limitar las opciones en la interfaz.

Una vez procesada esta solicitud, el atacante se crea como administrador completo del sitio. Tras obtener acceso administrativo, un actor malicioso puede comprometer por completo la instalación de WordPress afectada.

Pueden subir plugins o temas maliciosos con puertas traseras ocultas, modificar contenido para redirigir visitantes a sitios de phishing o malware, y plantar cargas útiles de spam o envenenamiento SEO.

Dada la amplia base de instalaciones del plugin y la facilidad de explotación cuando un formulario vulnerable está expuesto en internet, el impacto es grave para cualquier sitio que haya expuesto un formulario de acción de usuario al público.

En el momento de la divulgación, el proveedor lanzó una corrección en la versión 0.9.2.2, y los proveedores de seguridad han emitido protecciones para bloquear intentos de explotación a nivel de firewall.

Sin embargo, los sitios sin parchear que solo dependen de defensas a nivel de aplicación siguen siendo objetivos atractivos para atacantes oportunistas que escanean en busca de formularios de registro mal configurados.

Detalles de la vulnerabilidad:

¿Cómo funciona la escalada de privilegios?

El núcleo de esta vulnerabilidad reside en el sistema de formularios flexible del plugin, diseñado para permitir a los propietarios de sitios crear flujos de trabajo personalizados de gestión de usuarios sin escribir código.

En una configuración típica, un administrador define un grupo de campos que incluye información de usuario y lo vincula a una acción de formulario "Crear usuario" o "Actualizar usuario".

Uno de estos campos puede ser un selector de roles, que, en apariencia, parece estar limitado por una configuración de "Permitir rol de usuario".

Entre bastidores, cuando se envía un formulario, el plugin llama a la función insert_user() dentro de la clase acfe_module_form_action_user.

Esta función recopila todos los valores enviados, incluido cualquier campo de rol mapeado, y los pasa directamente a la función nativa de WordPress wp_insert_user().

El problema es que, en las versiones vulnerables, el plugin nunca aplica la restricción de roles que el propietario del sitio configuró en el grupo de campos.

La configuración del formulario da una sensación de seguridad, pero la lógica del backend no respeta esos límites.

Como resultado, si un formulario público incluye un campo de rol mapeado, un atacante no autenticado puede eludir las opciones de roles visibles y enviar su propio valor, como administrator, en la solicitud HTTP.

Dado que el plugin no valida ni filtra este rol antes de la creación del usuario, WordPress acepta la solicitud y crea una nueva cuenta con derechos de administrador completos. No es necesario tener una cuenta existente, ingeniería social o adivinar contraseñas.

Una vez dentro como administrador, un atacante tiene el mismo control que un propietario legítimo del sitio.

Puede instalar un plugin malicioso, modificar archivos de temas para inyectar puertas traseras, cambiar configuraciones del sitio o crear cuentas de administrador adicionales para mantener el acceso incluso si se descubre y elimina la primera cuenta.

Esto convierte a CVE-2025-14533 en una vía directa hacia el compromiso total del sitio siempre que exista la configuración vulnerable.