Revisión de una aplicación WordPress

Resumen

Revisión completa del código de una intranet WordPress privada usada por recursos humanos y operaciones. El objetivo era detectar fallos explotables antes de un endurecimiento interno, con informe ordenado por gravedad y nueva prueba incluida.

Se hallaron vulnerabilidades en complementos a medida, en la capa de informes y en el control de acceso a documentos: credenciales incrustadas, inyección SQL e IDOR entre empleados.

Enfoque

Análisis estático manual y asistido del código, pruebas dinámicas en preproducción y validación con prueba de concepto en los hallazgos críticos y altos. Metodología alineada con la guía de pruebas OWASP, con alcance y acuerdo de confidencialidad firmados por escrito.

Hallazgos principales

• Crítico: Credenciales y claves de API en texto claro dentro de complementos a medida (recursos humanos y pagos), con riesgo de toma de control de cuentas y exposición de datos financieros.
• Crítico: Inyección SQL en el módulo de informes: lectura de la base de datos sin autenticación.
• Alto: IDOR que permitía a cualquier usuario autenticado acceder a documentos de otros empleados.
• Alto: XSS almacenado en perfiles de empleado, sin codificación de salida.
• Medio: Ausencia de CSRF, dependencias desactualizadas y carga de archivos excesivamente permisiva.

Resultado

Informe con gravedad, evidencia y remediación concreta por hallazgo. El cliente aplicó las correcciones en dos semanas. La nueva prueba confirmó el cierre de los hallazgos críticos y altos, con controles de acceso y gestión de secretos reforzados.