Platform
wordpress
Component
wp-editor
Opgelost in
1.2.10
CVE-2025-3294 is a Directory Traversal vulnerability affecting the WP Editor plugin for WordPress. This vulnerability allows authenticated attackers with Administrator-level access to overwrite arbitrary files on the server, potentially leading to remote code execution. The vulnerability impacts versions 0.0.0 through 1.2.9.1. A patch is expected from the plugin developer.
Een succesvolle exploitatie van deze Directory Traversal kwetsbaarheid kan leiden tot ernstige gevolgen. Een aanvaller kan willekeurige bestanden op de server overschrijven, inclusief configuratiebestanden, kritieke systeemscripts en zelfs webserverbestanden. Dit kan resulteren in remote code execution (RCE), waardoor de aanvaller volledige controle over de server kan verkrijgen. De impact is vergelijkbaar met scenario's waarbij een aanvaller toegang krijgt tot de root directory van de webserver. De mogelijkheid tot RCE maakt dit een kritieke kwetsbaarheid die onmiddellijke aandacht vereist.
CVE-2025-3294 werd publiekelijk bekendgemaakt op 17 april 2025. Er zijn momenteel geen publieke proof-of-concept exploits beschikbaar, maar de Directory Traversal aard van de kwetsbaarheid maakt het waarschijnlijk dat dergelijke exploits in de toekomst zullen verschijnen. De EPSS score is momenteel niet bekend. Het is aan te raden om deze kwetsbaarheid serieus te nemen en onmiddellijk te mitigeren.
WordPress websites utilizing the WP Editor plugin, particularly those with administrator accounts that have unrestricted file upload permissions, are at significant risk. Shared hosting environments where users have administrator access to WordPress installations are also particularly vulnerable.
• wordpress / composer / npm:
grep -r "wp-content/plugins/wp-editor/includes/file-handler.php" /var/www/html/• wordpress / composer / npm:
wp plugin list --status=inactive | grep wp-editor• wordpress / composer / npm:
wp plugin list | grep wp-editordisclosure
Exploit Status
EPSS
2.33% (85% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-3294 is het upgraden van de WP Editor plugin naar een beveiligde versie. Controleer de WordPress plugin directory voor de meest recente versie. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de rechten van de webservergebruiker om te voorkomen dat deze bestanden kan overschrijven. Daarnaast kan het implementeren van een Web Application Firewall (WAF) met regels die Directory Traversal pogingen detecteren en blokkeren, helpen om de risico's te verminderen. Controleer de WordPress logbestanden op verdachte activiteit.
Actualice el plugin WP Editor a la última versión disponible para solucionar la vulnerabilidad de recorrido de directorio. Esta actualización corrige la falta de validación de la ruta del archivo, previniendo que atacantes autenticados puedan sobrescribir archivos arbitrarios en el servidor.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-3294 is a Directory Traversal vulnerability in the WP Editor WordPress plugin, allowing authenticated attackers to overwrite files.
If you are using the WP Editor plugin in WordPress versions 0.0.0–1.2.9.1, you are potentially affected by this vulnerability.
Upgrade the WP Editor plugin to the latest available version as soon as a patch is released by the plugin developer. Until then, restrict file upload permissions.
There is no confirmed active exploitation of CVE-2025-3294 at this time, but the vulnerability's nature makes it a potential target.
Refer to the plugin developer's website or the WordPress plugin repository for official advisories and updates regarding CVE-2025-3294.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.