WP Webhooks <= 3.3.5 - Copia Arbitraria de Archivos No Autenticada

Un atacante puede explotar esta vulnerabilidad para copiar cualquier archivo del servidor web al que tenga acceso. El escenario más crítico es la copia del archivo wp-config.php, que contiene información de configuración de la base de datos, incluyendo nombres de usuario, contraseñas y el nombre de la base de datos. La exposición de esta información permitiría al atacante acceder y manipular la base de datos de WordPress, comprometiendo la integridad y confidencialidad de los datos. Además, la capacidad de copiar archivos arbitrariamente podría permitir la ejecución de código malicioso en el servidor, dependiendo de los permisos del usuario web y la configuración del entorno. Esta vulnerabilidad es similar en impacto a otras fallas de acceso a archivos que han permitido el robo de credenciales y la toma de control de sitios web.

Websites using the WP Webhooks plugin, particularly those with default WordPress configurations and limited server access controls, are at significant risk. Shared hosting environments are especially vulnerable, as attackers may be able to exploit this vulnerability to access files on other users' websites.

• wordpress / composer / npm:

wp plugin list | grep wp-webhooks

• wordpress / composer / npm:

wp plugin update wp-webhooks --version=3.3.6

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/wp-webhooks/ -type f -name '*.php' -exec grep -i 'copy(' {} +)

• generic web: Check WordPress plugin directory for unauthorized file copies. Monitor web server access logs for unusual file access patterns targeting the WP Webhooks plugin directory.

1. 2025-08-21Disclosure

   disclosure

2. 2025-08-21Patch

   patch

3. 2025-08-21CISA KEV

   kev

1. Reservado2025-08-12
2. Publicada2025-08-21
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La solución principal es actualizar el plugin WP Webhooks a la versión 3.3.6 o superior, que corrige la vulnerabilidad. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de aplicar la actualización. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten acceder a archivos sensibles o que contengan patrones sospechosos en la URL. También es recomendable revisar los permisos de los archivos y directorios del sitio web para asegurar que solo el usuario web tenga acceso a los archivos necesarios. Después de la actualización, verifique que el plugin WP Webhooks funcione correctamente y que no haya errores en el registro de errores de WordPress.

Instalaciones activas

20KNicho

Valoración del plugin