Platform
wordpress
Component
wp-event-solution
Opgelost in
4.0.25
CVE-2025-1770 beschrijft een Local File Inclusion (LFI) kwetsbaarheid in de Eventin WordPress plugin, een tool voor evenementenkalenders, registraties en ticketverkoop. Deze kwetsbaarheid stelt geauthenticeerde aanvallers in staat om willekeurige bestanden op de server te includeren en uit te voeren, wat kan leiden tot code-uitvoering en data-inbreuk. De kwetsbaarheid treft versies van 0.0.0 tot en met 4.0.24. Een patch is beschikbaar in de nieuwste versie van de plugin.
Een succesvolle exploitatie van CVE-2025-1770 kan verstrekkende gevolgen hebben. Aanvallers met Contributor-niveau toegang of hoger kunnen PHP-code injecteren en uitvoeren, waardoor ze potentieel volledige controle over de webserver kunnen verkrijgen. Dit omvat het stelen van gevoelige data, het wijzigen van bestanden, het installeren van malware en het compromitteren van de hele WordPress-installatie. De mogelijkheid om willekeurige bestanden te includeren, maakt het mogelijk om bestanden te vinden die anders verborgen zouden zijn, zoals configuratiebestanden met database credentials. De impact is vergelijkbaar met andere LFI kwetsbaarheden waarbij code-uitvoering mogelijk is.
Op dit moment is er geen publieke exploitatie van CVE-2025-1770 bekend. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status onbekend). Er zijn geen bekende actieve campagnes gericht op deze specifieke kwetsbaarheid. Het is echter belangrijk om te benadrukken dat LFI-kwetsbaarheden vaak misbruikt worden, en het is raadzaam om de plugin zo snel mogelijk te patchen.
WordPress websites utilizing the Eventin plugin, particularly those with multiple contributors or users with elevated privileges, are at risk. Shared hosting environments where users have limited control over server configurations are also at increased risk, as are websites with legacy Eventin plugin versions that are no longer actively maintained.
• wordpress / composer / npm:
grep -r 'style=../../' /var/www/html/wp-content/plugins/eventin/• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/eventin/?style=../../../../etc/passwd' # Check for file disclosurePublic disclosure
Exploit Status
EPSS
0.55% (68% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-1770 is het upgraden van de Eventin WordPress plugin naar de nieuwste versie, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van gebruikers tot het absolute minimum. Controleer de WordPress-installatie op verdachte bestanden of wijzigingen. Implementeer een Web Application Firewall (WAF) met regels die LFI-pogingen detecteren en blokkeren. Monitor de server logs op ongebruikelijke activiteit, zoals pogingen om bestanden buiten de toegestane directory's te includeren. Na de upgrade, controleer de plugin configuratie en de rechten van gebruikers om te bevestigen dat de kwetsbaarheid is verholpen.
Actualice el plugin Eventin a la última versión disponible. La vulnerabilidad de inclusión de archivos locales se ha solucionado en versiones posteriores a la 4.0.24. Asegúrese de realizar una copia de seguridad completa de su sitio web antes de actualizar cualquier plugin.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-1770 is a Local File Inclusion vulnerability in the Eventin WordPress plugin, allowing authenticated users to execute arbitrary PHP code.
You are affected if you are using Eventin plugin versions 0.0.0 through 4.0.24 and have users with Contributor-level access or higher.
Upgrade the Eventin plugin to a patched version as soon as it's available. Until then, implement WAF rules or restrict file upload permissions.
While no active exploitation has been confirmed, the high CVSS score and ease of exploitation suggest a high likelihood of exploitation if unpatched.
Check the Eventin plugin developer's website and WordPress plugin repository for updates and advisories related to CVE-2025-1770.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.