CVE-2025-68998: CSRF en Heateor Social Login

La vulnerabilidad CSRF en Heateor Social Login permite a un atacante engañar a un usuario autenticado para que realice acciones no deseadas, como cambiar la configuración de la cuenta, agregar o eliminar redes sociales conectadas, o incluso realizar acciones administrativas si el usuario tiene privilegios elevados. Un atacante podría, por ejemplo, crear un formulario malicioso en un sitio web externo que, al ser visitado por un usuario autenticado en Heateor Social Login, enviaría una solicitud al sitio web vulnerable, ejecutando la acción deseada por el atacante. La explotación exitosa de esta vulnerabilidad podría comprometer la integridad de la cuenta del usuario y la seguridad del sitio web.

WordPress websites utilizing the Heateor Social Login plugin, particularly those with a large user base or that handle sensitive user data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'heateor-social-login' /var/www/html/wp-content/plugins/
wp plugin list | grep heateor-social-login

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/heateor-social-login/ | grep -i 'heateor-social-login'

1. 2025-12-30Disclosure

   disclosure

1. Reservado2025-12-29
2. Publicada2025-12-30
3. Modificada2026-04-28
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el plugin Heateor Social Login a la última versión disponible, que incluye la corrección de esta vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todas las solicitudes críticas. Además, se aconseja implementar una política de seguridad de contenido (CSP) para restringir las fuentes de las que se pueden cargar los scripts, reduciendo así el riesgo de ataques CSRF. Verifique después de la actualización que las solicitudes críticas requieran autenticación y validación de tokens CSRF.

Instalaciones activas

1KNicho

Valoración del plugin