Plataforma
wordpress
Componente
wpjobboard
Corregido en
5.11.1
Se ha identificado una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el plugin WPJobBoard para WordPress. Esta falla permite a un atacante subir un web shell al servidor, lo que resulta en la ejecución remota de código. La vulnerabilidad afecta a las versiones desde 0 hasta la 5.11.1, y se recomienda actualizar a la versión 5.11.1 para mitigar el riesgo.
La explotación exitosa de esta vulnerabilidad permite a un atacante, sin necesidad de autenticación, subir un web shell al servidor web que aloja el sitio WordPress. Un web shell es una herramienta que permite a un atacante ejecutar comandos arbitrarios en el servidor, comprometiendo completamente la confidencialidad, integridad y disponibilidad de los datos. Esto podría resultar en la exfiltración de información sensible, la modificación de contenido del sitio web, la instalación de malware o incluso el control total del servidor. La severidad CRÍTICA de esta vulnerabilidad se debe a la facilidad de explotación y el impacto potencial devastador.
La vulnerabilidad fue publicada el 15 de abril de 2025. No se han reportado activamente campañas de explotación a gran escala, pero la facilidad de explotación y la severidad de la vulnerabilidad sugieren que podría ser objeto de ataques en el futuro. Es importante monitorear la situación y aplicar las medidas de mitigación lo antes posible. No se ha añadido a KEV al momento de la redacción.
Websites utilizing the WPJobBoard plugin, particularly those running older, unpatched versions (0.0 - 5.11.1), are at significant risk. Shared hosting environments where WordPress installations have limited access controls are especially vulnerable, as an attacker compromising one site could potentially exploit this vulnerability to gain access to others on the same server.
• wordpress / composer / npm:
grep -r 'wp_insert_file' /var/www/html/wp-content/plugins/wpjobboard/• wordpress / composer / npm:
wp plugin list --status=active | grep wpjobboard• wordpress / composer / npm:
curl -I https://your-wordpress-site.com/wp-content/plugins/wpjobboard/ | grep Serverdisclosure
Estado del Exploit
EPSS
0.12% (31% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar el plugin WPJobBoard a la versión 5.11.1 o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso al panel de administración de WordPress y habilitar la autenticación de dos factores. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que intenten subir archivos. Verifique los logs del servidor en busca de intentos de subida de archivos inusuales.
Actualice el plugin WPJobBoard a la versión 5.11.1 o superior para mitigar la vulnerabilidad de CSRF que podría permitir la ejecución remota de código. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar el plugin. Verifique la compatibilidad de la actualización con otros plugins y temas.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-30967 is a critical Remote Code Execution vulnerability in the WPJobBoard WordPress plugin, allowing attackers to upload web shells via CSRF.
You are affected if you are using WPJobBoard versions 0.0 through 5.11.1. Immediately check your plugin version and upgrade if necessary.
Upgrade the WPJobBoard plugin to version 5.11.1 or later. If immediate upgrade is not possible, implement temporary workarounds like restricting file upload permissions.
While no active exploitation has been confirmed, the vulnerability's severity and ease of exploitation suggest a moderate probability of exploitation.
Refer to the official WPJobBoard website and WordPress plugin repository for the latest security advisories and updates related to CVE-2025-30967.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.