Plataforma
wordpress
Componente
seofy-core
Corregido en
1.6.9
Seofy Core, una extensión de WordPress, presenta una vulnerabilidad de Path Traversal que permite la inclusión de archivos locales PHP. Esta falla, presente en versiones desde 0.0.0 hasta 1.6.8, permite a un atacante acceder a archivos sensibles en el servidor. La vulnerabilidad fue publicada el 2025-06-09 y se ha solucionado en la versión 1.6.11.
La vulnerabilidad de Path Traversal en Seofy Core permite a un atacante, mediante la manipulación de parámetros en las solicitudes HTTP, acceder a archivos arbitrarios en el sistema de archivos del servidor web. Esto podría incluir archivos de configuración, código fuente de otras aplicaciones, o incluso archivos de base de datos. Un atacante podría leer información confidencial, modificar archivos críticos, o incluso ejecutar código malicioso en el servidor. La inclusión de archivos PHP permite la ejecución de código arbitrario, lo que amplía significativamente el impacto potencial de esta vulnerabilidad, similar a otras explotaciones de Path Traversal que han comprometido servidores web.
La vulnerabilidad CVE-2025-39473 fue publicada el 2025-06-09. No se ha añadido a CISA KEV al momento de esta redacción. No se conocen públicamente pruebas de concepto (PoC) activas, pero la naturaleza de la vulnerabilidad de Path Traversal la hace susceptible a explotación. Se recomienda monitorear activamente los sistemas afectados.
WordPress websites utilizing the Seofy Core plugin, particularly those running versions 0.0.0 through 1.6.8, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable, as are sites with legacy configurations that haven't been regularly updated.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/seofy-core/*• generic web:
curl -I http://example.com/wp-content/plugins/seofy-core/../../../../etc/passwddisclosure
Estado del Exploit
EPSS
0.07% (20% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-39473 es actualizar Seofy Core a la versión 1.6.11 o superior. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso al directorio de Seofy Core a través de un servidor web o firewall. Implementar reglas de WAF (Web Application Firewall) para bloquear solicitudes que contengan caracteres sospechosos en la ruta del archivo puede ayudar a prevenir la explotación. Revise los archivos de registro del servidor web en busca de patrones de solicitud inusuales que puedan indicar un intento de explotación. Después de la actualización, confirme la mitigación verificando que los archivos sensibles ya no son accesibles a través de la vulnerabilidad.
Actualizar a la versión 1.6.11, o una versión parcheada más reciente
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-39473 is a Path Traversal vulnerability in Seofy Core allowing PHP Local File Inclusion, potentially exposing sensitive data or enabling code execution.
You are affected if your WordPress site uses Seofy Core versions 0.0.0 through 1.6.8. Check your plugin versions and upgrade immediately.
Upgrade Seofy Core to version 1.6.11 or later. If immediate upgrade isn't possible, implement temporary workarounds like restricting file access and using a WAF.
As of the last update, there are no known public exploits or active campaigns targeting CVE-2025-39473, but vigilance is still advised.
Refer to the official Seofy Core project website or WordPress plugin repository for the latest advisory and security updates related to CVE-2025-39473.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.