Nombre del complemento	ColorMag
Tipo de vulnerabilidad	Autorización faltante
Número CVE	CVE-2025-9202
Urgencia	Bajo
Fecha de publicación de CVE	2025-08-19
URL de origen	CVE-2025-9202

ColorMag <= 4.0.19 — La falta de autorización permite que un suscriptor autenticado instale ThemeGrill Demo Importer (CVE-2025-9202)

Como equipo detrás de WP-Firewall —un firewall gestionado para WordPress y un servicio de protección de sitios web— seguimos de cerca este tipo de filtraciones. El 19 de agosto de 2025 se publicó una vulnerabilidad de control de acceso que afecta al tema ColorMag (versiones <= 4.0.19) (CVE-2025-9202). Esta vulnerabilidad permite que un usuario autenticado con privilegios de suscriptor instale el plugin ThemeGrill Demo Importer debido a la ausencia de una comprobación de autorización en la función de importación de demos del tema.

Aunque el nivel de privilegios requerido de inmediato es bajo (Suscriptor), el riesgo práctico y el alcance de la vulnerabilidad hacen que valga la pena comprenderla y mitigarla: la instalación de plugins es una operación compleja. Si un atacante logra instalar un plugin que controla (o un plugin malicioso/abusivo), puede escalar el control hasta tomar el control total del sitio, instalar puertas traseras persistentes o extraer datos confidenciales. En esta publicación explicaré la vulnerabilidad, su impacto real, las acciones inmediatas recomendadas, el fortalecimiento a largo plazo, los enfoques de detección y mitigación (incluyendo cómo WP-Firewall te protege) y los pasos para la respuesta ante incidentes.

Nota: Si administras sitios web de ColorMag, actualiza el tema a la versión 4.0.20 o superior de inmediato. El proveedor publicó una corrección en la versión 4.0.20.

---

TL;DR (Resumen rápido)

• Qué: Control de acceso roto en el tema ColorMag ≤ 4.0.19 (CVE-2025-9202).
• Impacto: Un suscriptor autenticado (con privilegios muy bajos) puede activar una acción que instala el plugin ThemeGrill Demo Importer.
• Gravedad: CVSS bajo (4.3), pero el riesgo práctico puede ser alto si se explota (instalación de complementos → mayor compromiso).
• Arreglar: Actualiza ColorMag a la versión 4.0.20 o posterior. Elimina los plugins no utilizados o de importación. Revisa el sitio en busca de plugins no autorizados o puertas traseras.
• Consejo sobre el firewall de WP: Si no puede actualizar de inmediato, habilite el parcheo virtual / reglas WAF para bloquear las solicitudes relacionadas con la instalación de complementos de usuarios con pocos privilegios.

---

¿Por qué importa esta vulnerabilidad? (riesgo práctico)

A primera vista, que un suscriptor pueda instalar un plugin parece improbable; WordPress normalmente restringe la instalación de plugins a los administradores. Ese es el problema: la lógica de importación de la demo del tema invocaba una ruta de código que o bien:

• Se denomina funcionalidad que realiza instalaciones de complementos sin comprobación. usuario_actual_puede('instalar_plugins'), o
• No se pudo verificar la autorización/nonces al realizar una acción de instalación.

En cualquier caso, el resultado es el mismo: las cuentas con pocos privilegios pueden ejecutar una operación que debería estar reservada a usuarios con privilegios. El escenario del atacante es sencillo:

1. El atacante crea (o utiliza una existente) cuenta de suscriptor en el sitio objetivo. Esto podría ocurrir mediante autorregistro (si está permitido), formularios de comentarios, configuración incorrecta o credenciales comprometidas.
2. Mientras está conectado como suscriptor, el atacante invoca la acción de importación de demostración (ya sea a través de la interfaz de administración o creando una solicitud HTTP).
3. El código vulnerable realiza los pasos de instalación del plugin (descarga, descompresión, instalación) para el plugin ThemeGrill Demo Importer sin validar las capacidades.
4. Una vez instalado ese plugin, se abren posibilidades para realizar pasos de ataque adicionales, especialmente si el atacante puede cargar un plugin malicioso o aprovecharse de un plugin con protecciones más débiles.

¿Por qué es tan peligrosa la instalación?

• Los plugins ejecutan código PHP en el contexto del sitio. Instalar un plugin que usted controla le permite ejecutar código PHP arbitrario.
• Los atacantes pueden agregar tareas programadas, crear usuarios administradores con puertas traseras, reemplazar contenido o extraer datos.
• Recuperarse de una intrusión basada en un plugin puede resultar difícil si el atacante persiste.

Aunque la vulnerabilidad en sí se clasifica como «baja» según CVSS, las consecuencias reales dependen de las acciones posteriores que lleve a cabo un atacante. Debemos tomar muy en serio cualquier posibilidad de instalar complementos desde cuentas con privilegios limitados.

---

Cómo se suele ver el problema en el código (conceptual)

La mayoría de las vulnerabilidades de PHP de este tipo tienen un patrón similar: una acción que realiza una operación administrativa no comprueba las capacidades ni los nonces.

Pseudo-fragmento vulnerable (conceptual):

// Se llama cuando se pulsa el botón de importación de demo function colormag_demo_import_handler() { // Obtiene el slug del plugin o la URL del paquete de la solicitud $package = $_POST['package']; // Descarga e instala el plugin con WP_Upgrader sin comprobar current_user_can() $upgrader = new Plugin_Upgrader( new Automatic_Upgrader_Skin() ); $result = $upgrader->install( $package ); // Responde con éxito wp_send_json_success( array('installed' => $result) ); } add_action( 'wp_ajax_colormag_demo_import', 'colormag_demo_import_handler' );

Enfoque parcheado (cómo debería funcionar una implementación correcta):

function colormag_demo_import_handler() { // Comprobación de permisos if ( ! current_user_can( 'install_plugins' ) ) { wp_send_json_error( 'No autorizado', 403 ); } // Comprobación del nonce (protección mediante nonce AJAX) if ( ! isset( $_POST['colormag_nonce'] ) || ! wp_verify_nonce( $_POST['colormag_nonce'], 'colormag_demo_import' ) ) { wp_send_json_error( 'Nonce no válido', 400 ); } $package = $_POST['package']; $upgrader = new Plugin_Upgrader( new Automatic_Upgrader_Skin() ); $result = $upgrader->install( $package ); wp_send_json_success( array('installed' => $result) ); }

Puntos clave:

• Utilice siempre el usuario actual puede() para el cumplimiento de las capacidades.
• Nonces (wp_nonce_field / wp_verify_nonce) proteger contra CSRF.
• Es preferible realizar comprobaciones de capacidad en el servidor en lugar de depender de ocultar elementos a nivel de interfaz de usuario.

---

Reproducción: pasos conceptuales (para defensores y revisores)

No voy a publicar aquí una receta para explotar una vulnerabilidad, pero los defensores y los responsables de la respuesta a incidentes deben comprender los pasos que podría seguir un adversario para poder buscar pruebas. El patrón de reproducción más probable es el siguiente:

1. Autentíquese con una cuenta de suscriptor.
2. Enviar una solicitud que active la acción de importación de la demo del tema (esto podría ser una llamada AJAX a admin-ajax.php con acción=colormag_demo_import o a un punto final específico del tema).
3. Observe el comportamiento del lado del servidor: archivos de complementos creados en wp-content/complementos, cambios en la base de datos o respuestas HTTP que indiquen el progreso de la instalación del complemento.

Indicadores a tener en cuenta:

• Directorios de plugins recién creados bajo wp-content/plugins/ No lo instalaste.
• Archivos inesperados o archivos PHP con marcas de tiempo que coinciden con la actividad de explotación.
• Nuevas tareas cron en opciones_wp (matriz cron) que parecen sospechosas.
• Nuevos usuarios administradores o modificaciones a los usuarios existentes.
• Registros HTTP que muestran solicitudes POST a admin-ajax.php o admin-post.php de sesiones de suscriptor autenticadas que coinciden con cambios en el sistema de archivos.

---

Mitigación inmediata (qué hacer ahora mismo)

Si administra sitios que utilizan ColorMag <= 4.0.19, siga estos pasos inmediatamente:

1. Actualizar el tema
   • El desarrollador ha publicado la versión 4.0.20, que corrige la falta de comprobación de autorización. Actualiza a la versión 4.0.20 o superior inmediatamente.
2. Auditoría de complementos instalados
   • Controlar wp-content/complementos para cualquier plugin añadido recientemente que no hayas instalado manualmente, especialmente ThemeGrill Demo Importer y otros plugins de importación.
   • Si encuentra complementos inesperados, desactívelos y póngalos en cuarentena (muévalos fuera de la carpeta de complementos a una ubicación de copia de seguridad) e investigue.
3. Comprobar cuentas de usuario
   • Busque nuevas cuentas de administrador o cuentas con privilegios elevados que se hayan agregado aproximadamente al mismo tiempo.
   • Revocar las cuentas no reconocidas y cambiar las contraseñas de los administradores existentes.
4. Revisar registros y marcas de tiempo de archivos
   • Revisar los registros de acceso, los registros de errores y contenido wp Esté atento a los cambios que puedan indicar actividad sospechosa. Anote las direcciones IP, los agentes de usuario y las horas.
5. Si no puede actualizar de inmediato, aplique protecciones temporales:
   • Deshabilitar la instalación de plugins en todo el sitio: define('DISALLOW_FILE_MODS', true); en wp-config.php — ADVERTENCIA: Esto deshabilita las actualizaciones y la instalación de plugins/temas para TODOS los usuarios, incluidos los administradores. Úselo solo como medida de emergencia a corto plazo si no tiene otra opción.
   • Elimina la interfaz de usuario de la función de importación de demostración del tema hasta que puedas actualizarlo (si te sientes cómodo editando los archivos del tema).
   • Utilice un firewall de aplicaciones web (WAF) para bloquear las llamadas a la acción de instalación del plugin desde cuentas que no sean de administrador (consulte la sección WP-Firewall a continuación).

---

Recomendaciones de mitigación y fortalecimiento a largo plazo

Más allá de la solución inmediata, implemente medidas de seguridad a largo plazo para que un problema similar no provoque una vulneración en el futuro:

• Principio de mínimo privilegio
  • Otorgue a los usuarios únicamente las capacidades necesarias. Evite otorgar capacidades adicionales a las cuentas de suscriptor. Si permite el registro de usuarios, asegúrese de que a los nuevos usuarios se les asigne el rol con menos privilegios y realice auditorías periódicas de los registros.
• Eliminar temas y complementos no utilizados
  • Mantén tu sitio web minimalista. Los temas y plugins sin usar representan una superficie de ataque. Elimínalos por completo en lugar de dejarlos inactivos.
• Utilizar restricciones de roles y gestión de capacidades
  • Considere la posibilidad de utilizar complementos o pequeños complementos imprescindibles que refuercen las capacidades, pero asegúrese de que ellos mismos sean seguros y estén actualizados.
• Implementar la autenticación de dos factores (2FA) para las cuentas de administrador
  • Aunque la vulnerabilidad solo requiera permisos de suscriptor, limitar la capacidad de escalar privilegios de cuenta o cambiar la configuración ayuda.
• Monitoreo de cambios de seguridad
  • Monitoreo de la integridad de los archivos, escaneo automatizado de nuevos complementos y monitoreo de cambios en archivos clave (wp-config.php, funciones.php, .htaccess) te ayudará a detectar la actividad rápidamente.
• Utilizar entornos de prueba y revisión de código
  • Prueba las actualizaciones de temas y las funciones en un entorno de pruebas antes de habilitarlas en producción; esto puede revelar comprobaciones faltantes o comportamientos inusuales.
• Mantén copias de seguridad con almacenamiento inmutable
  • Las copias de seguridad periódicas almacenadas fuera de las instalaciones permiten la recuperación en caso de que el sitio se vea comprometido. Conserve varios puntos de control en el tiempo.

---

Lista de verificación de respuesta ante incidentes (si sospecha de explotación)

Si detecta indicios de que la vulnerabilidad ha sido explotada, actúe con rapidez:

1. Aísle el sitio
   • Si es posible, ponga el sitio en modo de mantenimiento o deshabilite temporalmente el acceso público.
2. Actualiza el tema inmediatamente a la versión 4.0.20+ y actualiza todos los complementos y el núcleo.
3. Eliminar complementos no autorizados y poner en cuarentena los archivos sospechosos
   • Mueva las carpetas de complementos sospechosos fuera de wp-content/complementos Para análisis forense. Conserve copias de los archivos sospechosos para su investigación.
4. Escanear en busca de puertas traseras
   • Busque archivos PHP en subidas/, temas/o carpetas de complementos que no pertenecen. Compruebe si hay código ofuscado. evaluar(), decodificación base64(), sistema() uso, etc.
5. Rotar credenciales
   • Cambie todas las contraseñas de administrador, contraseñas de bases de datos y claves API utilizadas por el sitio. Restablezca las contraseñas de las cuentas que puedan verse afectadas.
6. Evaluar la persistencia
   • Consulta los eventos programados, los plugins imprescindibles y los archivos .php en wp-content/uploadsy archivos centrales modificados.
7. Restaure desde una copia de seguridad limpia si es necesario.
   • Si es posible realizar una restauración limpia antes de que se produzca la vulneración, considere la posibilidad de restaurar el sistema y, a continuación, aplicar las actualizaciones y las medidas de seguridad.
8. Informes posteriores al incidente
   • Documentar los hallazgos y el cronograma. Si este sitio forma parte de una propiedad mayor, notificar a las partes interesadas e implementar medidas correctivas en todos los sitios.

---

Patrones de detección y reglas de monitoreo que debes agregar ahora

Agregue las siguientes comprobaciones de detección a su pila de monitoreo o complemento de seguridad:

• Monitoreo del sistema de archivos:
  • Alerta sobre cualquier creación de nuevos directorios bajo wp-content/plugins/ o nuevos archivos PHP bajo wp-content/uploads/.
• Monitorización del comportamiento del usuario:
  • Alerta cuando un suscriptor u otro rol con privilegios limitados realice una acción que normalmente requiere capacidades administrativas.
• Patrones de solicitud HTTP:
  • Alerta sobre publicaciones a admin-ajax.php, admin-post.php, o puntos de conexión específicos del tema con parámetros que indican la instalación del complemento (por ejemplo, URL del paquete, slug del complemento) cuando el usuario autenticado carece de capacidades de administrador.
• Cambios en Cron y tareas programadas:
  • Alerta sobre adiciones a las tareas programadas o ganchos cron inesperados.
• Usuarios administradores nuevos o modificados:
  • Alerta inmediata de alta prioridad cuando se añade un nuevo administrador.

Estos patrones ayudarán a detectar intentos de aprovechar las comprobaciones de capacidad faltantes y le darán tiempo para responder antes de que se establezca la persistencia.

---

Cómo WP-Firewall protege los sitios web de este tipo de vulnerabilidades

En WP-Firewall abordamos incidentes como este en dos fases: protección preventiva y parcheo virtual.

1. Protección preventiva (línea de base)
   • Aplicamos una estricta validación de solicitudes y bloqueamos las operaciones riesgosas conocidas a usuarios con pocos privilegios. Esto incluye:
     • Bloquear las solicitudes que intenten instalar o actualizar complementos/temas a menos que la sesión pertenezca a un rol privilegiado.
     • Detección y bloqueo de intentos de llamar a los endpoints de instalación de temas/plugins desde fuentes que no sean de administrador.
     • Limitación de la velocidad de creación de cuentas y patrones POST sospechosos.
2. Parcheo virtual (cuando no se puede actualizar inmediatamente)
   • El parcheo virtual proporciona una protección a corto plazo: si un tema o plugin tiene una comprobación de autorización faltante conocida, el WAF inserta una regla que bloquea la ruta de ataque específica (según los atributos de la solicitud) sin modificar el código del sitio. Esto da tiempo para aplicar el parche por completo y, al mismo tiempo, evita la explotación en entornos reales.
   • Para este problema de ColorMag, reglas típicas de WAF/parche virtual:
     • Bloquear las llamadas admin-ajax/admin-post que contengan acciones relacionadas con el instalador cuando el rol del usuario autenticado sea Suscriptor (o cuando no haya ninguna sesión de administrador presente).
     • Bloquear los flujos HTTP de instalación de plugins que se originen en la interfaz de usuario del importador de temas/demostraciones, a menos que la cuenta sea de administrador.
     • Bloquear las solicitudes que incluyan URL de paquetes sospechosos o que parezcan cargas útiles de instalación de complementos automatizadas.
3. Monitoreo y alerta continuos
   • WP-Firewall supervisa los indicadores posteriores a la explotación descritos anteriormente (nuevos complementos, cambios de archivos, nuevas cuentas de administrador) y alerta al propietario y a los administradores del sitio.

Finalmente, los parches virtuales y las reglas WAF no sustituyen las correcciones del proveedor: son una medida de seguridad temporal hasta que se aplique la actualización oficial.

---

Ejemplos de conceptos de reglas WAF (de alto nivel)

A continuación, encontrará ideas de reglas fáciles de entender que puede proporcionar a su proveedor de alojamiento, administrador de firewall o consola WAF. Estas son solo ideas conceptuales y deben adaptarse a su entorno:

• Regla A: Bloquear las acciones de instalación de plugins para usuarios que no sean administradores.
  • Condición: Solicitud HTTP POST a /wp-admin/admin-ajax.php o /wp-admin/admin-post.php donde el cuerpo contiene acción=colormag_demo_import O contiene instalar_plugin Y el rol de sesión autenticada no es igual al de administrador.
  • Acción: Bloquear (HTTP 403)
• Regla B: Bloquear las URL de instalación de paquetes desde sesiones anónimas/de suscriptor
  • Condición: POST incluye parámetro paquete con URL a un archivo zip de plugin Y rol de sesión distinto de administrador
  • Acción: Bloquear y registrar
• Regla C: Supervisar la creación de carpetas de complementos
  • Condición: Evento de creación de archivo bajo wp-content/plugins/ por usuario del servidor web
  • Acción: Alerta al equipo de seguridad + cuarentena

Si utiliza WP-Firewall, podemos implementar reglas de parcheo virtual similares de forma centralizada.

---

Los autores de temas y plugins deben seguir los siguientes patrones de código seguro.

Si eres desarrollador de temas o plugins, sigue estos principios para evitar problemas de control de acceso:

• Nunca realice acciones privilegiadas sin comprobaciones de capacidad:
  • Usar usuario_actual_puede( 'instalar_plugins' ), usuario_actual_puede( 'actualizar_plugins' ), usuario_actual_puede( 'activar_plugins' ) cuando corresponda.
• Verifique siempre los nonces para las acciones que cambian el estado:
  • Usar comprobar_admin_referer() o wp_verify_nonce() para AJAX y formularios de administración.
• Mantén la lógica en el servidor; no confíes en interfaces de usuario ocultas ni en comprobaciones de roles del lado del cliente.
• Limita el alcance y los puntos de conexión expuestos públicamente: no expongas los puntos de conexión del instalador al front-end a menos que sea estrictamente necesario.
• Documente y pruebe las capacidades como parte de su canalización de CI.

---

Lista de verificación para administradores de WordPress

Utilice esta lista de verificación para proteger su sitio contra este y otros errores similares:

1. Actualiza ColorMag a la versión 4.0.20+ ahora.
2. Actualiza el núcleo de WordPress y todos los plugins a las últimas versiones.
3. Elimine los complementos y temas de importación que no utilice.
4. Analiza el sistema en busca de plugins o archivos sospechosos; pon en cuarentena cualquier elemento inesperado.
5. Auditar usuarios y roles; eliminar o reasignar cuentas según sea necesario.
6. Habilita la autenticación de dos factores (2FA) para todas las cuentas de administrador.
7. Asegúrese de usar contraseñas seguras y cambie las credenciales si detecta actividad sospechosa.
8. Implementar la monitorización y las alertas de integridad de archivos.
9. Realice copias de seguridad y habilite las copias de seguridad inmutables si es posible.
10. Considere una solución WAF gestionada/de parcheo virtual para una protección rápida de las rutas de explotación.

---

Ejemplo de fragmento de código de emergencia: denegar el acceso al importador de demostración a usuarios que no sean administradores (temporalmente)

Si no puedes actualizar el tema de inmediato y te sientes cómodo añadiendo un pequeño fragmento de código a un plugin específico del sitio o a un mu-plugin, esto bloqueará el patrón de acción AJAX común. Úsalo con precaución y pruébalo en un entorno de pruebas.

<?php
// mu-plugin: block-demo-importer.php
add_action( 'admin_init', function() {
    // Replace 'colormag_demo_import' with the actual action name if different.
    if ( defined( 'DOING_AJAX' ) && DOING_AJAX ) {
        $action = isset( $_REQUEST['action'] ) ? sanitize_text_field( $_REQUEST['action'] ) : '';
        if ( 'colormag_demo_import' === $action ) {
            if ( ! current_user_can( 'install_plugins' ) ) {
                // Block and return 403
                wp_die( 'Forbidden', 'Forbidden', array( 'response' => 403 ) );
            }
            // Optionally verify nonce
            if ( empty( $_REQUEST['colormag_nonce'] ) || ! wp_verify_nonce( $_REQUEST['colormag_nonce'], 'colormag_demo_import' ) ) {
                wp_die( 'Invalid request', 'Bad Request', array( 'response' => 400 ) );
            }
        }
    }
});

Esta es una medida de protección temporal. Actualiza el tema lo antes posible.

---

Falsos positivos y consideraciones operativas para las reglas de WAF

Al implementar parches virtuales estrictos o reglas WAF, es posible que se produzcan falsos positivos (por ejemplo, un administrador legítimo que utiliza una importación de demostración puede ser bloqueado). Para reducir la fricción:

• Aplicar las reglas solo a las sesiones autenticadas donde el rol no sea igual a administrador.
• Excluya las IP de confianza (por ejemplo, las IP de la oficina del desarrollador) de las reglas de bloqueo hasta que confirme su actividad.
• Utilice un enfoque de alerta inicial: configure inicialmente la regla para que solo supervise y notifique, luego cambie a bloqueo cuando esté seguro.
• Comunica temporalmente a tus usuarios administradores la medida de protección para evitar confusiones.

---

Por qué debes considerar la instalación de plugins como una operación de alto riesgo.

La instalación de plugins y temas requiere privilegios por diseño, ya que ejecuta código PHP arbitrario. Cualquier vulnerabilidad que permita a usuarios con pocos privilegios iniciar la instalación debe considerarse una posible vía de acceso no autorizado al sitio web. La puntuación CVSS es importante, pero el impacto real en el negocio (pérdida de datos, alteración del sitio, filtración de datos, tiempo de inactividad) es crucial. Proteja estas operaciones con la máxima diligencia.

---

Nuevo: Prueba el plan gratuito de WP-Firewall: protección esencial para sitios de WordPress.

Título: ¿Por qué es importante mejorar la seguridad básica? Empieza con WP-Firewall Basic (gratis).

Si desea una capa de protección inmediata mientras aplica parches y refuerza la seguridad, el plan Básico (Gratuito) de WP-Firewall le ofrece capacidades esenciales de firewall administrado, que incluyen:

• Firewall gestionado con ancho de banda ilimitado
• Reglas del firewall de aplicaciones web (WAF) que pueden bloquear las acciones de instalación de complementos por parte de usuarios con privilegios limitados.
• Escáner de malware y detección de nuevas instalaciones de plugins
• Medidas de mitigación para los 10 principales riesgos de OWASP

Regístrate en el plan gratuito y activa la protección en minutos: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Si necesita protecciones más avanzadas, nuestros planes Estándar y Pro ofrecen eliminación automatizada de malware, funciones de listas blancas/negras, informes de seguridad mensuales y parches virtuales automáticos para proteger su sitio mientras lo actualiza.

---

Notas finales: prácticas y humanas

Esta revelación nos recuerda que la seguridad no se limita a las puntuaciones o etiquetas CVSS. Incluso los problemas clasificados como de "baja" gravedad pueden ser explotados como punto de partida para una vulneración total si se dispone de acciones posteriores. Los responsables de la seguridad deben priorizar las actualizaciones, pero también implementar una protección por capas: mínimo privilegio, monitorización, integridad de archivos y un WAF gestionado.

Si administras varios sitios de WordPress, planifica cómo actualizar de forma centralizada los temas y plugins de terceros. Presta atención a los importadores y las funciones de conveniencia de los temas, ya que suelen abarcar funcionalidades adicionales y, por lo tanto, requieren comprobaciones exhaustivas de su compatibilidad.

Si necesita ayuda para evaluar la exposición de su infraestructura, implementar parches virtuales o configurar planes de monitoreo y respuesta ante incidentes, WP-Firewall puede ayudarle. Nuestra filosofía se basa en que la protección más rápida se logra mediante la combinación de parches de proveedores actualizados y reglas de mitigación específicas que previenen la explotación de vulnerabilidades.

Manténgase a salvo y, si está utilizando ColorMag, actualícelo ahora.