Plataforma
wordpress
Componente
wp-ultimate-csv-importer
Corregido en
7.20.1
7.20.1
El plugin Import Export Suite for CSV and XML Datafeed para WordPress es vulnerable a un acceso arbitrario de archivos debido a una validación insuficiente de la ruta del archivo en la función deleteImage(). Esta vulnerabilidad permite a atacantes autenticados, con privilegios de Suscriptor o superiores, borrar archivos arbitrarios en el servidor, lo que puede fácilmente conducir a la ejecución remota de código (RCE) al borrar el archivo correcto, como wp-config.php. La vulnerabilidad fue reintroducida en la versión 7.20 y posteriormente parcheada en 7.20.1.
Un atacante autenticado con privilegios de Suscriptor o superiores puede explotar esta vulnerabilidad para borrar archivos arbitrarios en el servidor WordPress. La eliminación de archivos críticos, como wp-config.php, podría permitir la ejecución remota de código, comprometiendo completamente el sitio web. Esto podría resultar en la modificación de contenido, robo de datos sensibles (credenciales de la base de datos, información de usuarios), instalación de malware o el uso del servidor para actividades maliciosas. La facilidad de explotación, combinada con la alta probabilidad de RCE, hace que esta vulnerabilidad sea particularmente peligrosa.
Esta vulnerabilidad ha sido publicada públicamente y, aunque no se han reportado casos de explotación activa a gran escala, la facilidad de explotación la convierte en un objetivo atractivo para atacantes. La vulnerabilidad se encuentra en el catálogo KEV de CISA, lo que indica una probabilidad de explotación moderada a alta. Se recomienda aplicar la solución lo antes posible para mitigar el riesgo.
WordPress websites using the WP Ultimate CSV Importer plugin, particularly those with Subscriber-level users who have access to import and export functionality, are at risk. Shared hosting environments where file permissions are less tightly controlled are also more vulnerable.
• wordpress / composer / npm:
grep -r 'deleteImage(' /var/www/html/wp-content/plugins/wp-ultimate-csv-importer/• wordpress / composer / npm:
wp plugin list --status=active | grep 'wp-ultimate-csv-importer'• wordpress / composer / npm:
wp plugin update wp-ultimate-csv-importer --alldisclosure
Estado del Exploit
EPSS
5.63% (90% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin WP Ultimate CSV Importer a la versión 7.20.1. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de aplicar la actualización. Como medida temporal, se puede restringir el acceso a la función deleteImage() a través de reglas de firewall de aplicaciones web (WAF) o proxies, bloqueando solicitudes que contengan rutas de archivo sospechosas. Monitorear los registros del servidor en busca de intentos de acceso o eliminación de archivos inusuales también puede ayudar a detectar y prevenir ataques.
Actualice el plugin WP Ultimate CSV Importer a la versión 7.20.1 o superior para solucionar la vulnerabilidad de eliminación arbitraria de archivos. Esta actualización corrige la falta de validación adecuada de las rutas de los archivos, previniendo que atacantes con privilegios de suscriptor o superiores puedan eliminar archivos sensibles en el servidor.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-2007 is a vulnerability in the WP Ultimate CSV Importer plugin for WordPress that allows authenticated users to delete arbitrary files, potentially leading to remote code execution.
You are affected if you are using the WP Ultimate CSV Importer plugin in versions 0.0.0 through 7.20. Versions 7.20.1 and later are patched.
Upgrade the WP Ultimate CSV Importer plugin to version 7.20.1 or later. Consider temporary mitigation steps like restricting file permissions if immediate upgrade is not possible.
While no active exploitation campaigns have been confirmed, the vulnerability's ease of exploitation makes it a potential target.
Refer to the plugin developer's website or WordPress plugin repository for the official advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.