Los actores maliciosos están aprovechando una vulnerabilidad crítica en el tema JobMonster de WordPress que permite secuestrar cuentas de administrador en determinadas condiciones.
La actividad maliciosa fue detectada por Wordfence, una empresa de seguridad de WordPress, tras bloquear múltiples intentos de explotación contra sus clientes en las últimas 24 horas.
JobMonster, creado por NooThemes, es un tema premium de WordPress utilizado por sitios web de ofertas de empleo, portales de contratación, herramientas de búsqueda de candidatos, etc. El tema tiene más de 5500 ventas en Envato.
La vulnerabilidad explotada se identifica como CVE-2025-5397 y tiene una puntuación de gravedad crítica de 9,8. Se trata de un problema de omisión de autenticación que afecta a todas las versiones del tema hasta la 4.8.1.
"El fallo se debe a que la función check_login() no verifica correctamente la identidad del usuario antes de autenticarlo con éxito", se lee en la descripción.
"Esto permite a los atacantes no autenticados eludir la autenticación estándar y acceder a cuentas de usuario administrativas".
Para explotar CVE-2025-5397, es necesario habilitar el inicio de sesión social en los sitios que utilizan el tema; de lo contrario, no hay ningún impacto.
El inicio de sesión social es una función que permite a los usuarios iniciar sesión en un sitio web utilizando sus cuentas de redes sociales existentes, como "Iniciar sesión con Google", "Iniciar sesión con Facebook" y "Continuar con LinkedIn".
JobMonster confía en los datos de inicio de sesión externos sin verificarlos adecuadamente, lo que permite a los atacantes falsificar el acceso de administrador sin tener credenciales válidas.
Normalmente, un atacante también necesitaría conocer el nombre de usuario o el correo electrónico de la cuenta del administrador objetivo.
CVE-2025-5397 se ha corregido en la versión 4.8.2 de JobMonster, actualmente la más reciente, por lo que se recomienda a los usuarios que actualicen inmediatamente a la versión parcheada.
Si no es posible tomar medidas urgentes, considere la posibilidad de desactivar la función de inicio de sesión social en los sitios web afectados.
También es recomendable habilitar la autenticación de dos factores para todas las cuentas de administrador, rotar las credenciales y comprobar los registros de acceso en busca de actividades sospechosas.
Los temas de WordPress han sido el epicentro de la actividad maliciosa en los últimos meses.
La semana pasada, Wordfence informó sobre una actividad maliciosa dirigida al tema premium Freeio que aprovechaba CVE-2025-11533, una falla crítica de escalada de privilegios.
A principios de octubre, los actores maliciosos se centraron en CVE-2025-5947, un problema crítico de omisión de autenticación en el tema Service Finder de WordPress, que les permitía iniciar sesión como administradores.
En julio de 2025, se informó de que los hackers se habían centrado en el tema de WordPress "Alone" para lograr la ejecución remota de código y realizar una toma de control total del sitio, y Wordfence bloqueó más de 120 000 intentos en ese momento.
Los plugins y temas de WordPress deben actualizarse periódicamente para garantizar que las últimas correcciones de seguridad estén activas en los sitios. El retraso en la aplicación de parches da a los actores maliciosos oportunidades para llevar a cabo ataques con éxito, a veces incluso un año después.
Fuente: bleepingcomputer