Platform
wordpress
Component
wpmastertoolkit
Opgelost in
1.10.0
2.5.4
CVE-2025-3300 beschrijft een Arbitrary File Access kwetsbaarheid in de WPMasterToolKit (WPMTK) – All in one plugin voor WordPress. Deze kwetsbaarheid stelt geauthenticeerde aanvallers met administratorrechten in staat om willekeurige bestanden op de server te lezen en te wijzigen, wat kan leiden tot blootstelling van gevoelige informatie. De kwetsbaarheid treft versies van de plugin tussen 1.0.0 en 1.15.0, en is verholpen in versie 2.5.4.
Een succesvolle exploitatie van deze kwetsbaarheid stelt een geauthenticeerde aanvaller met administratorrechten in staat om de integriteit en vertrouwelijkheid van de server in gevaar te brengen. De aanvaller kan gevoelige configuratiebestanden, database credentials of andere kritieke data inlezen. Bovendien kan de aanvaller bestanden wijzigen, waardoor de functionaliteit van de WordPress-site kan worden aangepast of zelfs volledig verstoord. De impact is significant, aangezien de aanvaller potentieel volledige controle over de server kan verkrijgen via het manipuleren van bestanden.
Op dit moment is er geen publieke exploitatie van CVE-2025-3300 bekend. De kwetsbaarheid is openbaar gemaakt op 2025-04-24. Het is aan te raden om de plugin zo snel mogelijk te patchen om het risico te minimaliseren. Er is geen vermelding op CISA KEV op dit moment.
WordPress websites using the WPMasterToolKit plugin, particularly those with administrator accounts that have not been secured with strong passwords or multi-factor authentication, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wpmastertoolkit/• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/wpmastertoolkit/wp-content/../etc/passwddisclosure
Exploit Status
EPSS
1.27% (79% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het updaten van de WPMasterToolKit plugin naar versie 2.5.4 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van de gebruiker die toegang heeft tot de plugin. Implementeer een Web Application Firewall (WAF) met regels die directory traversal pogingen detecteren en blokkeren. Controleer de WordPress-site op verdachte bestandsmodificaties en ongebruikelijke activiteit in de server logs. Na de upgrade, verifieer de fix door te proberen een bestand buiten de toegestane directory te benaderen via de plugin; dit zou moeten resulteren in een foutmelding.
Actualice el plugin WPMasterToolKit (WPMTK) – All in one plugin a la versión 2.5.4 o superior para mitigar la vulnerabilidad de Directory Traversal. Esta actualización corrige la forma en que el plugin maneja las rutas de archivos, previniendo el acceso no autorizado a archivos sensibles en el servidor. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar el plugin.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-3300 is a HIGH severity vulnerability in WPMasterToolKit allowing authenticated admins to read/modify arbitrary files, potentially exposing sensitive data.
You are affected if your WordPress site uses WPMasterToolKit version 1.0.0–1.15.0. Check your plugin version and upgrade if necessary.
Upgrade WPMasterToolKit to version 2.5.4 or later. If immediate upgrade is not possible, restrict admin access and implement file access controls.
Currently, there are no known public exploits or active campaigns targeting CVE-2025-3300, but prompt remediation is still recommended.
Refer to the WPMasterToolKit official website or WordPress plugin repository for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.