Plataforma
wordpress
Componente
jkdevkit
Corregido en
1.9.5
El plugin JKDEVKIT para WordPress presenta una vulnerabilidad de Acceso Arbitrario de Archivos. Esta falla permite a atacantes autenticados, con privilegios de Suscriptor o superiores, eliminar archivos arbitrarios del servidor. La vulnerabilidad afecta a las versiones 1.0.0 hasta la 1.9.4, y su explotación puede resultar en la ejecución remota de código, especialmente si se elimina archivos críticos como wp-config.php.
La vulnerabilidad de Acceso Arbitrario de Archivos en JKDEVKIT permite a un atacante autenticado eliminar cualquier archivo al que el proceso del servidor tenga acceso. En un escenario de ataque, un atacante con privilegios de Suscriptor o Contributor (si WooCommerce está habilitado) podría eliminar el archivo wp-config.php, esencial para la configuración de WordPress. La eliminación de este archivo, o de otros archivos de configuración críticos, puede interrumpir el servicio o permitir la ejecución de código malicioso en el servidor. La gravedad de esta vulnerabilidad radica en su potencial para comprometer la seguridad completa del sitio web y el servidor subyacente. La necesidad de privilegios relativamente bajos (Suscriptor) amplía el número de atacantes potenciales.
La vulnerabilidad CVE-2025-2932 fue publicada el 3 de julio de 2025. No se ha añadido a KEV en este momento. No se conocen públicamente exploits activos, pero la disponibilidad de la vulnerabilidad y su relativa facilidad de explotación la convierten en un objetivo potencial. La falta de una validación adecuada de la ruta del archivo es un patrón común en vulnerabilidades de este tipo, similar a otras vulnerabilidades de acceso a archivos que han sido explotadas en el pasado.
WordPress sites utilizing the JKDEVKIT plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are also at increased risk, as are sites that haven't implemented robust file upload validation.
• wordpress / composer / npm:
grep -r 'font_upload_handler' /var/www/html/wp-content/plugins/jkdevkit/• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/jkdevkit/font_upload_handler• wordpress / composer / npm:
wp plugin list --status=inactive | grep jkdevkitdisclosure
Estado del Exploit
EPSS
1.27% (79% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-2932 es actualizar el plugin JKDEVKIT a la última versión disponible, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir los permisos de escritura para el directorio de subida de fuentes. Implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder o eliminar archivos fuera del directorio esperado también puede ayudar. Monitorear los logs del servidor en busca de intentos de acceso o eliminación de archivos sospechosos es crucial. Además, se recomienda revisar los permisos de usuario en WordPress para asegurar que los usuarios con privilegios de Suscriptor no tengan acceso innecesario a funciones de administración.
Actualice el plugin JKDEVKIT a la última versión disponible para mitigar la vulnerabilidad de eliminación arbitraria de archivos. Verifique que la validación de rutas de archivos sea adecuada para prevenir accesos no autorizados. Considere limitar los permisos de los usuarios a los estrictamente necesarios para reducir el riesgo de explotación.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-2932 is a HIGH severity vulnerability in the JKDEVKIT WordPress plugin allowing authenticated users to delete arbitrary files, potentially leading to remote code execution.
You are affected if your WordPress site uses the JKDEVKIT plugin in versions 1.0.0 through 1.9.4. Check your plugin versions immediately.
Upgrade the JKDEVKIT plugin to the latest patched version as soon as it is available. Implement WAF rules as a temporary mitigation.
While no active exploitation has been confirmed, the vulnerability's ease of exploitation suggests it is likely to be targeted soon. Monitor security advisories.
Check the JKDEVKIT plugin's official website or WordPress plugin repository for updates and security advisories related to CVE-2025-2932.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.