Import Export Suite for CSV and XML Datafeed <= 7.19 - Suppression arbitraire de fichiers (Subscriber+) authentifiée
Plateforme
wordpress
Composant
wp-ultimate-csv-importer
Corrigé dans
7.20.1
7.20.1
La vulnérabilité CVE-2025-2007 concerne un accès arbitraire aux fichiers dans le plugin WordPress « WP Ultimate CSV Importer – Import CSV, XML & Excel into WordPress ». Cette faille permet à un attaquant authentifié, avec un niveau d'accès Subscriber ou supérieur, de supprimer des fichiers sensibles sur le serveur. Elle affecte les versions de 0.0.0 à 7.20, mais a été corrigée dans la version 7.20.1.
Détecte cette CVE dans ton projet
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Impact et Scénarios d'Attaque
L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant authentifié de supprimer des fichiers arbitraires sur le serveur WordPress. La suppression de fichiers critiques, tels que wp-config.php, peut entraîner une exécution de code à distance (RCE), compromettant ainsi l'ensemble de l'installation WordPress. L'attaquant n'a besoin que d'un accès de niveau Subscriber pour exploiter cette faille, ce qui rend la surface d'attaque relativement large. La suppression de fichiers de configuration peut également permettre l'accès à des informations sensibles, telles que les identifiants de la base de données.
Contexte d'Exploitation
Cette vulnérabilité a été rendue publique le 1er avril 2025. Bien qu'il n'y ait pas d'indication d'une exploitation active à ce jour, la facilité d'exploitation et la disponibilité d'un accès authentifié relativement bas rendent cette vulnérabilité préoccupante. Il est conseillé de surveiller les forums de sécurité et les sites de partage de code pour détecter l'émergence de preuves d'exploitation. La vulnérabilité n'est pas encore répertoriée sur le KEV de CISA.
Qui Est à Risquetraduction en cours…
WordPress websites using the WP Ultimate CSV Importer plugin, particularly those with Subscriber-level users who have access to import and export functionality, are at risk. Shared hosting environments where file permissions are less tightly controlled are also more vulnerable.
Étapes de Détectiontraduction en cours…
• wordpress / composer / npm:
grep -r 'deleteImage(' /var/www/html/wp-content/plugins/wp-ultimate-csv-importer/• wordpress / composer / npm:
wp plugin list --status=active | grep 'wp-ultimate-csv-importer'• wordpress / composer / npm:
wp plugin update wp-ultimate-csv-importer --allChronologie de l'Attaque
- Disclosure
disclosure
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
5.63% (percentile 90%)
CISA SSVC
Vecteur CVSS
Que signifient ces métriques?
- Attack Vector
- Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
- Attack Complexity
- Faible — aucune condition spéciale requise. Exploitable de manière fiable.
- Privileges Required
- Faible — tout compte utilisateur valide est suffisant.
- User Interaction
- Aucune — attaque automatique et silencieuse. La victime ne fait rien.
- Scope
- Inchangé — impact limité au composant vulnérable.
- Confidentiality
- Aucun — aucun impact sur la confidentialité.
- Integrity
- Élevé — l'attaquant peut écrire, modifier ou supprimer toutes les données.
- Availability
- Élevé — panne complète ou épuisement des ressources. Déni de service total.
Logiciel Affecté
Informations sur le paquet
- Installations actives
- 20KPopulaire
- Note du plugin
- 4.4
- Nécessite WordPress
- 5.0+
- Compatible jusqu'à
- 7.0
- Nécessite PHP
- 7.4+
Classification de Faiblesse (CWE)
Chronologie
- Réservé
- Publiée
- Modifiée
- EPSS mis à jour
Mitigation et Contournements
La mitigation immédiate consiste à mettre à jour le plugin « WP Ultimate CSV Importer » vers la version 7.20.1. Si la mise à jour est problématique, envisagez de restaurer une sauvegarde antérieure à l'installation de la version vulnérable. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les privilèges des utilisateurs ayant un accès Subscriber. Il est également recommandé de surveiller les journaux du serveur pour détecter toute activité suspecte, notamment des tentatives de suppression de fichiers. Un pare-feu applicatif web (WAF) peut être configuré pour bloquer les requêtes suspectes ciblant la fonction deleteImage().
Comment corrigertraduction en cours…
Actualice el plugin WP Ultimate CSV Importer a la versión 7.20.1 o superior para solucionar la vulnerabilidad de eliminación arbitraria de archivos. Esta actualización corrige la falta de validación adecuada de las rutas de los archivos, previniendo que atacantes con privilegios de suscriptor o superiores puedan eliminar archivos sensibles en el servidor.
Newsletter Sécurité CVE
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Questions fréquentestraduction en cours…
What is CVE-2025-2007 — Arbitrary File Access in WP Ultimate CSV Importer?
CVE-2025-2007 is a vulnerability in the WP Ultimate CSV Importer plugin for WordPress that allows authenticated users to delete arbitrary files, potentially leading to remote code execution.
Am I affected by CVE-2025-2007 in WP Ultimate CSV Importer?
You are affected if you are using the WP Ultimate CSV Importer plugin in versions 0.0.0 through 7.20. Versions 7.20.1 and later are patched.
How do I fix CVE-2025-2007 in WP Ultimate CSV Importer?
Upgrade the WP Ultimate CSV Importer plugin to version 7.20.1 or later. Consider temporary mitigation steps like restricting file permissions if immediate upgrade is not possible.
Is CVE-2025-2007 being actively exploited?
While no active exploitation campaigns have been confirmed, the vulnerability's ease of exploitation makes it a potential target.
Where can I find the official WP Ultimate CSV Importer advisory for CVE-2025-2007?
Refer to the plugin developer's website or WordPress plugin repository for the official advisory and update information.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.