Plataforma
wordpress
Componente
intelligent-importer
Corregido en
5.1.5
El plugin Catalog Importer, Scraper & Crawler para WordPress presenta una vulnerabilidad de inyección de código PHP (RCE) en todas las versiones hasta la 5.1.4. Esta falla se debe a la dependencia de un token numérico adivinable sin una autenticación adecuada, combinada con el uso inseguro de eval() en la entrada proporcionada por el usuario. Esto permite a atacantes no autenticados ejecutar código PHP arbitrario en el servidor mediante una solicitud falsificada si pueden adivinar o forzar la clave numérica.
La inyección de código PHP permite a un atacante tomar el control completo del servidor WordPress. Un atacante exitoso podría modificar archivos del sitio, insertar puertas traseras, robar datos confidenciales de la base de datos (como credenciales de usuario, información de clientes o datos financieros), o incluso utilizar el servidor como punto de apoyo para lanzar ataques contra otras redes. La falta de autenticación necesaria para explotar esta vulnerabilidad amplía significativamente el riesgo, ya que cualquier usuario externo con conocimiento de la estructura de la URL puede intentar explotarla. La ejecución de código arbitrario implica un riesgo de compromiso total del sistema, incluyendo la posible exfiltración de datos sensibles y la interrupción del servicio.
Esta vulnerabilidad ha sido publicada públicamente el 2025-09-11. No se ha confirmado la explotación activa en campañas conocidas, pero la facilidad de explotación y la naturaleza crítica de la vulnerabilidad (RCE) sugieren un riesgo significativo. La ausencia de autenticación necesaria para la explotación aumenta la probabilidad de que sea objetivo de escaneos automatizados y ataques oportunistas. Se recomienda monitorear activamente los sistemas afectados.
WordPress websites utilizing the Catalog Importer, Scraper & Crawler plugin, particularly those running versions 0.0.0 through 5.1.4, are at significant risk. Shared hosting environments are especially vulnerable as they often have limited access controls and increased exposure to malicious actors.
• wordpress / composer / npm:
grep -r 'eval($_GET["key"]' /var/www/html/wp-content/plugins/catalog-importer-scraper-crawler/• generic web:
curl -I 'https://your-wordpress-site.com/?key=900001705' # Check for successful responsedisclosure
Estado del Exploit
EPSS
0.28% (52% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin Catalog Importer, Scraper & Crawler a una versión corregida (posterior a la 5.1.4) tan pronto como esté disponible. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales. Restrinja el acceso al archivo que contiene la vulnerabilidad a través de reglas de firewall o WAF (Web Application Firewall) para bloquear solicitudes sospechosas. Implemente una autenticación robusta para cualquier funcionalidad que involucre la manipulación de datos proporcionados por el usuario. Revise los logs del servidor en busca de intentos de explotación, buscando patrones de solicitudes con parámetros sospechosos o ejecuciones inesperadas de código PHP.
Actualice el plugin Catalog Importer, Scraper & Crawler a la última versión disponible para mitigar la vulnerabilidad de inyección de código PHP. Verifique que la autenticación sea robusta y evite el uso de funciones inseguras como eval() con datos proporcionados por el usuario.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-8417 is a HIGH severity vulnerability in the WordPress Catalog Importer plugin allowing unauthenticated attackers to execute arbitrary PHP code due to insecure token handling.
Yes, if you are using the Catalog Importer, Scraper & Crawler plugin in WordPress versions 0.0.0 through 5.1.4, you are vulnerable.
Upgrade the Catalog Importer, Scraper & Crawler plugin to the latest available version as soon as a patch is released. Temporarily disable the plugin if an upgrade is not immediately possible.
While active exploitation is not yet confirmed, the ease of exploitation suggests it is highly likely to be targeted soon after public disclosure.
Check the plugin developer's website and WordPress.org plugin page for updates and security advisories related to CVE-2025-8417.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.