CVE-2026-97637: Bypass de autenticación en JSON API Auth

Qué es la vulnerabilidad

La CVE-2026-97637 es una vulnerabilidad de Bypass de Autenticación mediante Divulgación de Cookie de Sesión Cacheada (Authentication Bypass via Cached Session Cookie Disclosure) en el plugin JSON API Auth de WordPress, desarrollado por parorrey. La falla está presente en todas las versiones del plugin hasta la 3.1.2 inclusive.

El origen del problema no reside únicamente en el propio plugin JSON API Auth, sino en su interacción con el plugin padre PI-Media/json-api, que es un requisito obligatorio para su funcionamiento. Este plugin padre implementa un mecanismo de caché basado en transients de WordPress para almacenar los resultados del despacho de controladores. La clave de caché se genera exclusivamente a partir de la URI y la cadena de consulta (query string), ignorando por completo el método HTTP utilizado (GET, POST, etc.) y el cuerpo de la petición POST.

Esta deficiencia en el diseño de la caché provoca que, cuando un Administrador legítimo realiza una petición POST al endpoint /api/auth/generate_auth_cookie/, la respuesta —que incluye una cookie logged_in válida de WordPress generada mediante wp_generate_auth_cookie()— quede almacenada en la caché. Cualquier petición GET posterior no autenticada a la misma URI recibirá esa respuesta cacheada, exponiendo la cookie de sesión del Administrador.

Adicionalmente, el mecanismo de seguridad nominal que fuerza el uso de HTTPS en el archivo Auth.php del plugin puede ser trivialmente evadido añadiendo el parámetro insecure=cool a la petición, lo que facilita aún más la explotación en entornos donde el tráfico HTTP no está correctamente bloqueado.

La vulnerabilidad está clasificada bajo la categoría CWE-287: Improper Authentication (Autenticación Incorrecta), lo que refleja la naturaleza del fallo: un problema en la gestión de la autenticación que permite a un atacante no autenticado obtener credenciales de sesión válidas.

Para que la explotación sea posible, se requieren las siguientes condiciones:

• El plugin padre PI-Media/json-api debe estar instalado y activo.
• El controlador Auth debe estar habilitado en la configuración del plugin.
• Un Administrador legítimo debe haber realizado una petición POST a /api/auth/generate_auth_cookie/ dentro de las últimas 24 horas (el TTL de la caché).

La gravedad de esta vulnerabilidad es máxima, ya que un atacante que logre explotarla puede autenticarse como Administrador del sitio WordPress, obteniendo control total sobre el mismo, incluyendo la capacidad de modificar contenido, instalar plugins maliciosos, crear nuevos usuarios con privilegios elevados o exfiltrar datos sensibles de la base de datos.

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin JSON API Auth de parorrey para WordPress. Según los datos publicados por CVE.org y NVD, todas las versiones hasta la 3.1.2 inclusive están afectadas. No se ha publicado información sobre versiones anteriores específicas o ramas de desarrollo adicionales en las fuentes consultadas.

Es importante señalar que la explotación de esta vulnerabilidad requiere la presencia del plugin padre PI-Media/json-api instalado y activo, con el controlador Auth habilitado. Este requisito previo es determinante para evaluar la exposición real de un sitio WordPress.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (CRITICAL), con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la falla sin necesidad de interacción del usuario y sin requerir privilegios previos.

El impacto técnico se deriva de un fallo de autenticación (CWE-287) que permite a un atacante no autenticado recuperar una cookie de sesión logged_in válida de WordPress, generada por wp_generate_auth_cookie() para un administrador legítimo. Esta cookie queda incrustada en la respuesta JSON del endpoint generate_auth_cookie() y es cacheada por el plugin padre en transients claveados únicamente por URI y cadena de consulta, ignorando el método HTTP y el cuerpo de la petición POST.

Las consecuencias prácticas de una explotación exitosa incluyen:

• Compromiso total de la cuenta de administrador: el atacante puede autenticarse como administrador del sitio utilizando la cookie robada.
• Ejecución de acciones administrativas: cualquier acción disponible para el administrador legítimo puede ser realizada por el atacante, incluyendo la gestión de usuarios, instalación de plugins o modificación de contenido.
• Persistencia y escalada: al disponer de acceso administrativo completo, el atacante podría establecer mecanismos de persistencia en el sitio comprometido.
• Compromiso de datos: el acceso a la administración del sitio puede derivar en la exfiltración de información sensible almacenada en la base de datos de WordPress.

La criticidad se ve incrementada por la facilidad de explotación: el atacante solo necesita enviar una petición GET a la misma URI después de que un administrador legítimo haya realizado una petición POST al endpoint vulnerable dentro de la ventana de caché de 24 horas. Además, la restricción de HTTPS presente en Auth.php puede ser omitida trivialmente añadiendo el parámetro insecure=cool a la petición.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa en entornos reales para esta vulnerabilidad. La entrada CVE-2026-97637 ha sido publicada recientemente y no se incluyen referencias a exploits públicos, campañas de ataque o informes de actividad maliciosa asociada.

No obstante, la naturaleza de la vulnerabilidad —un fallo de autenticación explotable de forma remota y sin autenticación previa— y su alta puntuación CVSS la convierten en un objetivo atractivo para actores maliciosos. Se recomienda tratar esta vulnerabilidad como de alto riesgo y priorizar su mitigación independientemente de la ausencia de exploits públicos confirmados.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc del contexto se encuentra vacío, por lo que no se dispone de direcciones IP, dominios, hashes de archivos u otros IOC publicados asociados a esta vulnerabilidad.

Dado que la explotación se basa en el robo de cookies de sesión legítimas, los administradores que sospechen de un compromiso deben prestar atención a:

• Peticiones GET inusuales a la URI /api/auth/generate_auth_cookie/ o endpoints relacionados.
• Presencia del parámetro insecure=cool en registros de acceso del servidor.
• Actividad administrativa anómala en WordPress, como cambios de contraseña, creación de usuarios o instalación de plugins no autorizados.

Estas recomendaciones son orientativas y no constituyen IOC confirmados por las fuentes oficiales. Para una detección precisa, se recomienda revisar los registros del servidor web y del sitio WordPress en busca de patrones de acceso anómalos a los endpoints de la API JSON.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a esta CVE, debes verificar los siguientes requisitos previos que establece el aviso oficial. La explotación no es posible si no se cumplen todas las condiciones:

• Plugin afectado: Tienes instalada una versión de JSON API Auth del fabricante parorrey igual o anterior a la 3.1.2. Esta es la única versión mencionada como afectada en las fuentes consultadas.
• Plugin padre obligatorio: El plugin PI-Media/json-api debe estar instalado y activo. Sin este componente, el endpoint vulnerable no está disponible.
• Controlador Auth habilitado: El controlador Auth debe estar activado dentro de la configuración del plugin padre.
• Actividad reciente del administrador: Un administrador legítimo debe haber realizado una solicitud POST al endpoint /api/auth/generate_auth_cookie/ dentro de las últimas 24 horas, ya que la caché transitoria tiene un TTL de 24 horas.

Si no puedes confirmar que se cumplen todas estas condiciones, la exposición real es baja. Sin embargo, la criticidad de la vulnerabilidad (CVSS 9.8) y la facilidad de explotación remota sin autenticación justifican una verificación inmediata.

Para una comprobación técnica directa, revisa el código fuente del plugin en las líneas referenciadas por NVD. En particular, examina el archivo controllers/Auth.php en las líneas 28, 66, 77 y 104 para confirmar la presencia del endpoint generate_auth_cookie() y la lógica de caché. También revisa json-api-auth.php en la línea 65 para ver cómo se registra el controlador.

Importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. La ausencia de IOC no debe interpretarse como una señal de que la vulnerabilidad no ha sido explotada.

Mitigación y actualización

En el momento de la publicación de esta CVE, no se ha publicado ninguna versión corregida del plugin JSON API Auth en las fuentes oficiales consultadas (NVD y CVE.org). La única versión mencionada es la 3.1.2 como afectada, y no hay referencias a una versión posterior que resuelva el problema.

Mientras tanto, se recomiendan las siguientes medidas de mitigación temporales:

• Deshabilitar el controlador Auth: Si no necesitas la funcionalidad de autenticación por API, desactiva el controlador Auth en la configuración del plugin padre PI-Media/json-api. Esto elimina el endpoint vulnerable.
• Restringir el acceso al endpoint: Utiliza reglas de firewall de aplicación web (WAF) o de servidor para bloquear solicitudes POST y GET a la ruta /api/auth/generate_auth_cookie/.
• Limitar el acceso de administradores: Reduce el número de cuentas con privilegios de administrador y supervisa la actividad de estas cuentas.
• Monitorizar la caché: Si es posible, supervisa los transients de WordPress para detectar respuestas almacenadas del endpoint generate_auth_cookie y elimínalas manualmente si aparecen.

Permanece atento a los canales oficiales del fabricante y a las actualizaciones de NVD para esta CVE. La referencia al changeset en el repositorio de plugins de WordPress (enlace en la sección de fuentes) podría contener futuras correcciones.

Checklist para administradores

• ☐ Verificar la versión instalada del plugin JSON API Auth. Si es ≤ 3.1.2, asumir que eres vulnerable.
• ☐ Confirmar si el plugin padre PI-Media/json-api está instalado y activo.
• ☐ Comprobar si el controlador Auth está habilitado en la configuración del plugin padre.
• ☐ Revisar los registros de acceso al servidor para detectar solicitudes POST recientes a /api/auth/generate_auth_cookie/.
• ☐ Si el endpoint ha sido utilizado, considerar todas las sesiones de administrador como potencialmente comprometidas y forzar el cierre de sesión global.
• ☐ Aplicar las mitigaciones temporales descritas anteriormente (deshabilitar controlador, bloquear rutas, limitar accesos).
• ☐ Suscribirse a las alertas de NVD y del fabricante para recibir notificaciones sobre parches.
• ☐ Documentar la decisión de mitigación y la fecha de revisión para el cumplimiento interno.

Preguntas frecuentes

¿Qué versión de JSON API Auth está afectada?

Según CVE.org, todas las versiones desde la 0 hasta la 3.1.2 inclusive están afectadas. No se ha mencionado ninguna versión posterior.

¿Necesito el plugin PI-Media/json-api para ser vulnerable?

Sí. La vulnerabilidad existe debido a la interacción con el plugin padre PI-Media/json-api, que es un requisito previo para que el endpoint generate_auth_cookie() esté disponible y para que se produzca la caché insegura.

¿Cómo puedo saber si mi sitio ha sido explotado?

No se han publicado IOC estructurados en las fuentes consultadas. Debes revisar los registros de acceso en busca de solicitudes GET a /api/auth/generate_auth_cookie/ que no provengan de un administrador legítimo, y monitorizar las cuentas de administrador para detectar actividad inusual.

¿El parámetro insecure=cool es un exploit funcional?

Según la descripción de la vulnerabilidad, el parámetro insecure=cool permite eludir la comprobación de HTTPS en Auth.php. Esto es parte de la cadena de explotación descrita, pero no es un exploit autónomo; requiere que se cumplan las demás condiciones (caché poblada, plugin padre activo, etc.).

¿Existe una versión corregida disponible?

No. Las fuentes oficiales consultadas no mencionan ninguna versión posterior a la 3.1.2 que corrija esta vulnerabilidad. Se recomienda monitorizar el changeset del plugin en el repositorio de WordPress.

¿Qué debo hacer si ya he sido comprometido?

Si sospechas que un atacante ha obtenido una cookie de sesión de administrador, debes invalidar todas las sesiones activas, cambiar las contraseñas de todas las cuentas de administrador, revisar en busca de cuentas o archivos maliciosos, y aplicar las mitigaciones descritas para evitar una reexplotación.