CVE-2026-22342: XSRF en Tema Dating para WordPress

Un atacante podría explotar esta vulnerabilidad para realizar acciones en nombre de un administrador del sitio WordPress, como modificar la configuración, publicar contenido malicioso o incluso eliminar datos. El ataque se basa en la capacidad del atacante para engañar al administrador para que haga clic en un enlace especialmente diseñado. La severidad de este ataque depende del nivel de privilegios del administrador engañado y de la sensibilidad de los datos y funcionalidades del sitio web. Aunque no se ha reportado explotación activa, la naturaleza de XSRF hace que esta vulnerabilidad sea fácilmente explotable.

Websites using the Dating WordPress theme, particularly those with active administrators who regularly log in and manage the site, are at risk. Shared hosting environments where multiple websites share the same server resources could also be indirectly affected if one site is compromised and used to launch attacks against others.

• wordpress / composer / npm:

grep -r 'wp_nonce_url' /var/www/html/wp-content/themes/dating/

• generic web:

curl -I https://example.com/admin/ | grep -i 'referer'

1. 2025-12-23Disclosure

   disclosure

1. Publicada2025-12-23
2. Modificada2026-01-15

La mitigación principal es actualizar el tema Dating a una versión posterior a la 11.2.0, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la restricción de acceso a funciones críticas del sitio web y la implementación de una Web Application Firewall (WAF) que pueda detectar y bloquear solicitudes XSRF. También es crucial educar a los administradores del sitio sobre los riesgos de XSRF y la importancia de verificar la autenticidad de los enlaces antes de hacer clic en ellos. Después de la actualización, confirme que la validación de nonce funciona correctamente revisando el código del tema.