CVE-2025-63040: CSRF en Post Snippets para WordPress

La vulnerabilidad CSRF en Post Snippets permite a un atacante, mediante la creación de una solicitud maliciosa, engañar a un usuario autenticado para que realice acciones sin su conocimiento o consentimiento. Esto podría resultar en la modificación no autorizada de fragmentos de publicaciones, la alteración de la configuración del plugin, o incluso la inserción de código malicioso en el sitio web. Un atacante podría, por ejemplo, modificar el contenido de las publicaciones para incluir enlaces maliciosos o scripts que comprometan la seguridad del sitio.

Websites using the Post Snippets plugin, particularly those running older versions (0.0.0–4.0.11), are at risk. Shared hosting environments where plugin updates are managed centrally are also potentially vulnerable if they haven't been updated to the latest version.

• wordpress / composer / npm:

grep -r 'post-snippets/includes/class-post-snippets.php' . |
 grep -i 'wp_send_json'

• generic web:

curl -I https://example.com/wp-content/plugins/post-snippets/includes/class-post-snippets.php | grep -i 'server'

1. 2025-12-31Disclosure

   disclosure

1. Reservado2025-10-24
2. Publicada2025-12-31
3. Modificada2026-04-28
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar el plugin Post Snippets a la versión 4.0.12 o superior, donde se ha solucionado el problema. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todas las solicitudes críticas. Además, se puede considerar el uso de un Web Application Firewall (WAF) para bloquear solicitudes sospechosas. Verifique que la configuración de WordPress tenga habilitada la protección CSRF por defecto.

Instalaciones activas

20KConocido

Valoración del plugin