Plateforme
wordpress
Composant
edukart-pro
Corrigé dans
1.0.4
La vulnérabilité CVE-2025-13559 affecte le plugin EduKart Pro pour WordPress, permettant une élévation de privilèges. Cette faille critique permet à des attaquants non authentifiés d'obtenir un accès administrateur au site web. Les versions concernées sont 1.0.0 à 1.0.3. La correction consiste à mettre à jour le plugin vers une version corrigée.
Cette vulnérabilité d'élévation de privilèges est extrêmement dangereuse car elle permet à un attaquant non authentifié de contourner les mécanismes d'authentification et d'obtenir un accès administrateur complet au site WordPress. Un attaquant pourrait ainsi modifier le contenu du site, installer des logiciels malveillants, voler des données sensibles des utilisateurs (informations de connexion, données personnelles, informations financières), ou même prendre le contrôle total du serveur. La simplicité de l'exploitation rend cette vulnérabilité particulièrement préoccupante, car elle ne nécessite aucune connaissance technique approfondie. Elle rappelle les vulnérabilités d'élévation de privilèges qui ont affecté d'autres plugins WordPress, permettant des prises de contrôle de sites web à grande échelle.
La vulnérabilité CVE-2025-13559 a été rendue publique le 25 novembre 2025. Aucune information concernant une exploitation active n'est disponible à ce jour, mais la simplicité de l'exploitation suggère un risque élevé. Il est probable que des preuves de concept (PoC) soient rapidement disponibles, ce qui pourrait entraîner une augmentation des attaques. La vulnérabilité n'a pas encore été ajoutée au catalogue KEV de CISA.
WordPress sites utilizing the EduKart Pro plugin, particularly those with limited security hardening or those running older, unpatched versions, are at significant risk. Shared hosting environments where multiple websites share the same server infrastructure are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / plugin: Use wp-cli plugin list to identify installations of EduKart Pro. Check plugin files (e.g., edukartproregisteruserfront_end.php) for the vulnerable code.
• generic web: Monitor WordPress access logs for POST requests to the registration endpoint with parameters attempting to set the user role to 'administrator'.
• wordpress / composer: Run composer audit within the EduKart Pro plugin directory to check for known vulnerabilities.
• wordpress / plugin: Use a WordPress security plugin to scan for privilege escalation vulnerabilities and monitor for suspicious user registration attempts.
disclosure
Statut de l'Exploit
EPSS
0.15% (percentile 35%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin EduKart Pro vers la dernière version corrigée dès qu'elle est disponible. En attendant la mise à jour, il est possible de restreindre les rôles d'utilisateur autorisés à s'inscrire via le formulaire d'inscription du plugin. Il est également recommandé de surveiller les journaux d'activité du site WordPress pour détecter toute tentative d'inscription suspecte. L'utilisation d'un pare-feu applicatif web (WAF) peut aider à bloquer les requêtes malveillantes ciblant cette vulnérabilité. Enfin, assurez-vous que tous les autres plugins et le thème WordPress sont à jour pour minimiser la surface d'attaque.
Aucun correctif connu n'est disponible. Veuillez examiner en profondeur les détails de la vulnérabilité et mettre en œuvre des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel affecté et de trouver un remplacement.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-13559 is a critical vulnerability allowing unauthenticated attackers to gain administrator access to WordPress sites using the EduKart Pro plugin by exploiting a flaw in user registration.
If you are using EduKart Pro versions 1.0.0 through 1.0.3 on your WordPress site, you are potentially affected by this vulnerability.
Upgrade to a patched version of the EduKart Pro plugin as soon as it becomes available. Until then, disable the plugin or implement a workaround to restrict user roles during registration.
While no public exploits are currently known, the vulnerability's severity and ease of exploitation suggest it is likely to be targeted by malicious actors.
Refer to the EduKart Pro plugin's official website or WordPress plugin repository for updates and advisories regarding this vulnerability.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.