Plataforma
wordpress
Componente
wpshop
Corregido en
2.6.2
Se ha descubierto una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el plugin WP shop de Agence web Eoxia - Montpellier. Esta falla permite a un atacante subir un Web Shell al servidor web, comprometiendo la seguridad de la instalación de WordPress. La vulnerabilidad afecta a las versiones de WP shop desde n/a hasta la 2.6.1, y se recomienda actualizar a la versión 2.6.2 para solucionar el problema.
La vulnerabilidad CSRF en WP shop permite a un atacante, mediante la manipulación de solicitudes HTTP, subir un Web Shell al servidor. Un Web Shell es un script malicioso que permite al atacante ejecutar comandos arbitrarios en el servidor, obteniendo control total sobre la aplicación y potencialmente sobre el sistema operativo subyacente. Esto podría resultar en la exfiltración de datos sensibles, la modificación de archivos, la instalación de malware adicional o incluso la interrupción completa del servicio. La severidad CRÍTICA de esta vulnerabilidad indica un alto riesgo de explotación y un impacto significativo en la confidencialidad, integridad y disponibilidad del sistema.
Esta vulnerabilidad fue publicada el 9 de abril de 2025. No se ha reportado explotación activa en campañas conocidas, pero la naturaleza de CSRF y la disponibilidad de Web Shells pre-fabricados hacen que la probabilidad de explotación sea alta. Se recomienda monitorear los logs del servidor en busca de actividad sospechosa relacionada con la subida de archivos.
Organizations using WP shop plugin in their WordPress installations are at risk, particularly those running older, unpatched versions (0.0.0–2.6.1). Shared hosting environments are especially vulnerable, as they often have limited control over plugin updates and security configurations. Sites with custom themes or plugins that interact with WP shop are also at increased risk.
• wordpress / composer / npm:
wp plugin list | grep wpshop• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r 'Agence web Eoxia' /var/www/html/wp-content/plugins/• generic web: Check for unusual files in the WordPress plugin directory (e.g., PHP files with suspicious names or content).
disclosure
Estado del Exploit
EPSS
0.09% (26% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar el plugin WP shop a la versión 2.6.2 o superior, donde se ha solucionado el problema. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de proceder. Como medida temporal, se puede implementar un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que intenten subir archivos. Además, revise los permisos de los archivos y directorios del plugin para asegurar que solo el usuario web tenga acceso de escritura a las áreas necesarias.
Actualice el plugin WP shop a la versión 2.6.2 o superior para mitigar la vulnerabilidad de Cross-Site Request Forgery (CSRF) que permite la subida de un web shell al servidor. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar el plugin. Consulte la documentación del plugin para obtener instrucciones detalladas sobre cómo actualizar.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-32576 is a critical Cross-Site Request Forgery (CSRF) vulnerability in the WP shop WordPress plugin, allowing attackers to upload a Web Shell.
You are affected if you are using WP shop versions 0.0.0 through 2.6.1. Upgrade immediately.
Upgrade WP shop to version 2.6.2 or later. If immediate upgrade is not possible, implement temporary workarounds like restricting file uploads.
While no active exploitation campaigns have been confirmed, the vulnerability's severity and ease of exploitation suggest a high risk of exploitation.
Refer to the official WP shop website and WordPress security announcements for the latest advisory and updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.