CVE-2025-14354: CSRF en Resource Library for Logged In Users

Un atacante puede explotar esta vulnerabilidad para realizar acciones administrativas en el sitio WordPress sin la necesidad de autenticarse. Esto incluye la creación de recursos maliciosos, la modificación de contenido existente y la eliminación de datos importantes. El atacante podría, por ejemplo, crear una página de inicio de sesión falsa que redirija a un sitio controlado por él, o modificar la configuración del sitio para redirigir a los usuarios a sitios maliciosos. La severidad de este impacto es alta, ya que compromete la integridad y disponibilidad del sitio web y sus datos.

WordPress sites utilizing the Resource Library for Logged In Users plugin, particularly those with shared hosting environments or legacy configurations where administrators may be more susceptible to social engineering attacks, are at risk. Sites where administrators routinely click links from untrusted sources are also more vulnerable.

• wordpress / composer / npm:

grep -r 'wp_nonce_field' /var/www/html/wp-content/plugins/resource-library-for-logged-in-users/

• generic web:

curl -I https://example.com/wp-admin/admin-post.php?action=resource_library_create_resource&resource_name=TestResource&resource_content=TestContent | grep -i 'referer'

1. 2025-12-12Disclosure

   disclosure

1. Reservado2025-12-09
2. Publicada2025-12-12
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el plugin Resource Library for Logged In Users a la versión 1.6 o superior, que corrige la vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales, como la restricción del acceso administrativo a usuarios confiables y la implementación de políticas de seguridad de contraseñas robustas. Además, se puede considerar el uso de un firewall de aplicaciones web (WAF) que pueda detectar y bloquear solicitudes CSRF. Verifique después de la actualización que las funciones administrativas requieran autenticación y validación de nonce.

Instalaciones activas

40

Valoración del plugin