Toma de Control Total en WordPress
Resumen
El Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT-UC) emite una ALERTA MÁXIMA para los administradores de sitios web basados en WordPress que utilicen el complemento LA-Studio Element Kit for Elementor.
Se ha detectado una falla crítica que permite a cualquier persona en internet registrarse en el sitio web y, mediante la manipulación de un solo parámetro (lakit_bkrole), asignarse automáticamente el rango de Administrador. Esto otorga al atacante control absoluto sobre el contenido, los datos de los usuarios y la configuración del servidor sin necesidad de contraseñas previas.
Detalles Técnicos de la Vulnerabilidad
| Atributo | Detalle |
| Identificador CVE | CVE-2026–0920 |
| Puntuación CVSS v3.1 | 9.8 (CRÍTICA) |
| Tipo de Falla | Gestión inadecuada de privilegios (Escalada de Privilegios No Autenticada). |
| Vector de Ataque | Remoto / Red (No requiere interacción del usuario). |
| Mecanismo de Explotación | El atacante envía una solicitud de registro diseñada maliciosamente aprovechando el parámetro lakit_bkrole para saltarse las restricciones de rol. |
IMPORTANTE: Esta vulnerabilidad es equivalente a dejar la "llave maestra" pegada a la puerta principal de su sitio web. La explotación es extremadamente sencilla para actores maliciosos.
Productos Afectados y Mitigación
Cualquier sitio de la Universidad (departamentales, blogs de cátedras o proyectos) que utilice este kit de diseño debe ser revisado.
| Producto Afectado | Versiones Vulnerables | Recomendación URGENTE |
| LA-Studio Element Kit for Elementor | 1.5.6.3 e inferiores | Actualizar a la versión 1.5.6.4 o superior inmediatamente. |
Pasos Recomendados por CSIRT-UC
- Actualización Inmediata: Ingrese al panel de administración de WordPress (
/wp-admin), vaya a la sección de Plugins y actualice LA-Studio Element Kit a la última versión disponible. - Auditoría de Usuarios: Una vez actualizado, revise la lista de usuarios con rol de "Administrador". Si encuentra cuentas desconocidas o creadas recientemente sin autorización, elimínelas de inmediato, ya que el sitio podría haber sido comprometido antes del parcheo.
- Revisión de Logs: Si cuenta con registros de acceso, busque peticiones que incluyan el término
lakit_bkrolepara identificar intentos de ataque.
Referencias Oficiales
- NVD NIST: CVE-2026-0920
- Wordfence Threat Intelligence: LA-Studio Element Kit - Unauthenticated Privilege Escalation
CSIRT - UC