CVE-2025-14158: XSRF en Coding Blocks para WordPress

Un atacante puede explotar esta vulnerabilidad para modificar la configuración del plugin Coding Blocks sin la autorización del administrador del sitio. Esto podría incluir la alteración de la configuración del tema, la inyección de código malicioso o la modificación de cualquier otra opción configurable dentro del plugin. El impacto potencial es significativo, ya que un atacante podría comprometer la apariencia y el funcionamiento del sitio web, e incluso obtener acceso a información sensible si el plugin interactúa con otros sistemas. La falta de validación de nonce facilita la creación de solicitudes forjadas que se ejecutan con los privilegios del usuario autenticado, en este caso, el administrador del sitio.

WordPress websites utilizing the Coding Blocks plugin, particularly those with administrators who frequently click on links or interact with external content, are at risk. Shared hosting environments where multiple websites share the same server resources are also potentially vulnerable, as an attacker could exploit the vulnerability on one site to impact others.

• wordpress / composer / npm:

grep -r 'coding_blocks_settings_update' /var/www/html/wp-content/plugins/coding-blocks/

• wordpress / composer / npm:

wp plugin list --status=active | grep coding-blocks

• generic web: Inspect HTTP requests to the Coding Blocks settings update endpoint for the absence of a CSRF token or nonce.

1. 2025-12-12Disclosure

   disclosure

1. Reservado2025-12-05
2. Publicada2025-12-12
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el plugin Coding Blocks a la última versión disponible, que incluye la corrección de esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a la funcionalidad de actualización de la configuración del plugin a través de un firewall de aplicaciones web (WAF) o mediante reglas de proxy que bloqueen solicitudes sospechosas. Además, se recomienda educar a los administradores del sitio sobre los riesgos de los ataques XSRF y la importancia de no hacer clic en enlaces sospechosos. Después de la actualización, verifique que la funcionalidad de actualización de la configuración del plugin requiera ahora la validación de nonce.