Plataforma
wordpress
Componente
wp-realestate
Corregido en
1.6.27
La vulnerabilidad CVE-2025-2237 es una elevación de privilegios que afecta al plugin WP RealEstate para WordPress, utilizado con el tema Homeo. Esta falla permite a atacantes no autenticados registrarse con el rol de Administrador, otorgándoles control total sobre el sitio web. La vulnerabilidad se encuentra presente en todas las versiones hasta la 1.6.26. Se recomienda actualizar el plugin a la última versión disponible o implementar medidas de mitigación inmediatas.
El impacto de esta vulnerabilidad es crítico, ya que permite a un atacante no autenticado obtener acceso de administrador a un sitio WordPress. Esto significa que el atacante puede modificar contenido, instalar malware, robar datos sensibles de usuarios, o incluso tomar el control completo del servidor. La facilidad de explotación, al no requerir autenticación previa, aumenta significativamente el riesgo. Un atacante podría, por ejemplo, inyectar código malicioso en las páginas del sitio, redirigir a los usuarios a sitios de phishing, o utilizar el servidor para lanzar ataques contra otras redes. La falta de restricciones de roles en la función 'process_register' es la causa directa de esta vulnerabilidad, similar a otras fallas de privilegios en plugins WordPress.
La vulnerabilidad CVE-2025-2237 fue publicada el 1 de abril de 2025. No se ha añadido a la lista KEV de CISA al momento de esta redacción. No se han reportado públicamente pruebas de concepto (PoC) activas, pero la simplicidad de la explotación sugiere que podrían aparecer rápidamente. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad relacionada con esta vulnerabilidad.
Websites utilizing the WP RealEstate plugin, particularly those running versions 1.0.0 through 1.6.26, are at significant risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and security configurations. Sites relying on the Homeo theme, which frequently integrates with WP RealEstate, are also directly impacted.
• wordpress / composer / npm:
wp plugin list | grep 'WP RealEstate'• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
wp plugin status | grep 'WP RealEstate'• wordpress / composer / npm:
wp option get admin_email # Check for suspicious admin email addressesdisclosure
Estado del Exploit
EPSS
0.80% (74% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin WP RealEstate a la última versión disponible, que corrige esta vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales. Una opción es restringir el acceso a la página de registro, limitando el acceso solo a usuarios autenticados con roles específicos. También se puede implementar un firewall de aplicaciones web (WAF) para bloquear intentos de registro maliciosos. Monitorear los logs del servidor en busca de intentos de registro sospechosos es crucial. Después de la actualización, confirme que el rol de administrador solo se otorga a usuarios autorizados revisando la base de datos o el panel de administración de WordPress.
Actualice el plugin WP RealEstate a una versión corregida (superior a 1.6.26) para mitigar la vulnerabilidad de escalada de privilegios. Verifique las actualizaciones disponibles en el repositorio de WordPress o en el sitio web del desarrollador. Implemente medidas de seguridad adicionales, como la limitación de roles de usuario y la revisión regular de los permisos.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-2237 is a critical vulnerability in the WP RealEstate plugin for WordPress allowing unauthenticated attackers to register as administrators, gaining full control of the site. It affects versions 1.0.0–1.6.26.
Yes, if your WordPress site uses the WP RealEstate plugin and is running version 1.0.0 through 1.6.26, you are vulnerable to this privilege escalation attack.
Upgrade the WP RealEstate plugin to the latest available version, as the vendor has released a patch to address this vulnerability. If immediate upgrade is not possible, restrict user registration.
While no public exploits are currently known, the ease of exploitation suggests a high probability of active exploitation. Monitor your site closely.
Refer to the official WP RealEstate plugin website or WordPress.org plugin repository for the latest security advisory and patch information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.