CRITICALCVE-2025-52773CVSS 9.3

Plugin WordPress HieCOR Payment Gateway plugin <= 1.5.11 - Vulnerabilidad de Inyección SQL (SQL Injection)

Plataforma

wordpress

Componente

hcv4-payment-gateway

Corregido en

1.5.12

AI Confidence: highNVDEPSS 0.0%Revisado: may 2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin HieCOR Payment Gateway Plugin para WordPress. Esta falla permite a un atacante inyectar código SQL malicioso, potencialmente comprometiendo la integridad de la base de datos. La vulnerabilidad afecta a las versiones desde la n/a hasta la 1.5.11, y se recomienda actualizar a la versión 1.5.12 para solucionar el problema.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

La inyección SQL permite a un atacante ejecutar consultas SQL arbitrarias en la base de datos del sitio WordPress. Esto podría resultar en la extracción de información confidencial, como datos de clientes, información de tarjetas de crédito (si se almacenan), credenciales de usuario y otros datos sensibles. Un atacante también podría modificar o eliminar datos, comprometiendo la funcionalidad del sitio web y la integridad de los datos. La severidad CRÍTICA de esta vulnerabilidad indica un alto riesgo de explotación y un impacto significativo en la seguridad del sitio.

Contexto de Explotación

Esta vulnerabilidad ha sido publicada el 6 de noviembre de 2025. No se ha reportado explotación activa en campañas conocidas, pero la naturaleza crítica de la vulnerabilidad y la facilidad de explotación la convierten en un objetivo atractivo para los atacantes. Se recomienda monitorear de cerca los sistemas afectados y aplicar la mitigación lo antes posible. No se ha añadido a KEV hasta la fecha.

Quién Está en Riesgotraduciendo…

E-commerce businesses and online stores utilizing the HieCOR Payment Gateway Plugin are at significant risk. Specifically, those running older, unpatched versions (0–1.5.11) are particularly vulnerable. Shared hosting environments where multiple WordPress sites share the same database are also at heightened risk, as a compromise of one site could potentially impact others.

Pasos de Deteccióntraduciendo…

• wordpress / composer / npm:

grep -r "hcv4-payment-gateway" /var/www/html/wp-content/plugins/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/hiecor-payment-gateway/ | grep SQL

• wordpress / composer / npm:

wp plugin list --status=inactive | grep hiecor

Cronología del Ataque

  1. Disclosure

    disclosure

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

EPSS

0.03% (9% percentil)

CISA SSVC

Explotaciónnone
Automatizableyes
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L9.3CRITICALAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredNoneNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeChangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityNoneRiesgo de modificación no autorizada de datosAvailabilityLowRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Ninguno — sin autenticación. No se necesitan credenciales para explotar.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Ninguno — sin impacto en integridad.
Availability
Bajo — denegación de servicio parcial o intermitente.

Software Afectado

Componentehcv4-payment-gateway
Proveedorhiecor
Rango afectadoCorregido en
0 – 1.5.111.5.12

Información del paquete

Instalaciones activas
50Conocido
Valoración del plugin
0.0
Requiere WordPress
4.7.5+
Compatible hasta
6.8.5

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada
  3. Modificada
  4. EPSS actualizado

Mitigación y Workarounds

La mitigación principal es actualizar el plugin HieCOR Payment Gateway Plugin a la versión 1.5.12 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, considere implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres sospechosos en los parámetros de entrada. Además, revise y fortalezca las validaciones de entrada en el código del plugin para prevenir futuras inyecciones SQL. Después de la actualización, confirme la mitigación revisando los registros del servidor en busca de intentos de inyección SQL.

Cómo corregirlo

Actualice el plugin HieCOR Payment Gateway a la última versión disponible para mitigar la vulnerabilidad de inyección SQL. Verifique las actualizaciones en el repositorio de WordPress o contacte al desarrollador del plugin para obtener más información sobre la versión corregida. Implemente medidas de seguridad adicionales, como la validación y el saneamiento de las entradas del usuario, para prevenir futuras vulnerabilidades.

Boletín de seguridad CVE

Análisis de vulnerabilidades y alertas críticas directamente en tu correo.

Preguntas frecuentestraduciendo…

What is CVE-2025-52773 — SQL Injection in HieCOR Payment Gateway Plugin?

CVE-2025-52773 is a critical SQL Injection vulnerability affecting the HieCOR Payment Gateway Plugin for WordPress, allowing attackers to inject malicious SQL code and potentially compromise the database.

Am I affected by CVE-2025-52773 in HieCOR Payment Gateway Plugin?

You are affected if you are using the HieCOR Payment Gateway Plugin in versions 0 through 1.5.11. Upgrade to version 1.5.12 or later to mitigate the risk.

How do I fix CVE-2025-52773 in HieCOR Payment Gateway Plugin?

The recommended fix is to upgrade the HieCOR Payment Gateway Plugin to version 1.5.12 or later. As a temporary workaround, implement a WAF rule to filter malicious SQL queries.

Is CVE-2025-52773 being actively exploited?

While no public exploits have been confirmed, the ease of SQL injection exploitation suggests a high probability of exploitation if the vulnerability remains unpatched.

Where can I find the official HieCOR advisory for CVE-2025-52773?

Please refer to the HieCOR Payment Gateway Plugin's official website or WordPress plugin repository for the latest advisory and update information.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.