Platform
wordpress
Component
download-manager
Opgelost in
3.3.13
CVE-2025-3404 beschrijft een kwetsbaarheid van het type Arbitrary File Access in de WordPress Download Manager plugin. Deze kwetsbaarheid stelt geauthenticeerde aanvallers in staat om willekeurige bestanden op de server te verwijderen, wat potentieel kan leiden tot remote code execution. De kwetsbaarheid treft versies van de plugin tussen 0.0.0 en 3.3.12 inclusief. Een patch is beschikbaar en wordt sterk aanbevolen.
Een succesvolle exploitatie van CVE-2025-3404 kan verstrekkende gevolgen hebben. Aangezien de kwetsbaarheid vereist dat de aanvaller geauthenticeerd is (met Author-level toegang of hoger), is de impact beperkt tot omgevingen waar dergelijke gebruikersrechten bestaan. Echter, het vermogen om willekeurige bestanden te verwijderen, opent de deur naar remote code execution (RCE). Het verwijderen van cruciale configuratiebestanden, zoals wp-config.php, kan de website volledig uitschakelen of de aanvaller controle geven over de server. De impact is vergelijkbaar met kwetsbaarheden waarbij onvoldoende validatie van bestandsnamen of paden leidt tot ongeautoriseerde toegang tot het bestandssysteem.
Op het moment van publicatie (2025-04-19) is er geen publieke exploitatie van CVE-2025-3404 bekend. De kwetsbaarheid is opgenomen in het CISA KEV catalogus (KEV status onbekend). Er zijn geen bekende actieve campagnes die deze kwetsbaarheid uitbuiten. Het is echter belangrijk om te benadrukken dat de potentie voor remote code execution de kwetsbaarheid een hoog risico maakt.
WordPress sites utilizing the Download Manager plugin, particularly those with multiple users having Author or higher roles, are at significant risk. Shared hosting environments where users have elevated privileges are also particularly vulnerable, as an attacker could potentially compromise the entire hosting account.
• wordpress / composer / npm:
grep -r 'savePackage' /var/www/html/wp-content/plugins/download-manager/• generic web:
curl -I 'http://your-wordpress-site.com/wp-content/plugins/download-manager/savePackage.php?file=../../../../wp-config.php' # Attempt to access wp-config.php• wordpress / composer / npm:
wp plugin list --status=inactive | grep 'download-manager'• wordpress / composer / npm:
wp plugin list --status=active | grep 'download-manager'disclosure
Exploit Status
EPSS
2.02% (84% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-3404 is het upgraden van de WordPress Download Manager plugin naar een beveiligde versie. Controleer de plugin-website of de WordPress repository voor de meest recente versie. Indien een upgrade momenteel niet mogelijk is, overweeg dan tijdelijke mitigaties zoals het beperken van de rechten van gebruikers met Author-level toegang. Implementeer een Web Application Firewall (WAF) met regels die pogingen tot het verwijderen van gevoelige bestanden blokkeren. Controleer de WordPress logbestanden op verdachte activiteit, zoals ongebruikelijke bestandstoegangsverzoeken.
Actualice el plugin Download Manager a una versión corregida (superior a 3.3.12) para mitigar la vulnerabilidad de eliminación arbitraria de archivos. Asegúrese de realizar una copia de seguridad completa de su sitio web antes de actualizar el plugin. Verifique que las actualizaciones automáticas de plugins estén habilitadas o realice las actualizaciones manualmente de forma regular.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-3404 is a vulnerability in the WordPress Download Manager plugin allowing authenticated users to delete arbitrary files, potentially leading to remote code execution. It affects versions 0.0.0–3.3.12 and has a CVSS score of 8.8 (HIGH).
If you are using the WordPress Download Manager plugin in version 0.0.0 through 3.3.12, you are potentially affected by this vulnerability. Immediate action is required.
Upgrade the WordPress Download Manager plugin to a patched version. As no patch is currently available, implement workarounds like restricting file upload permissions and using a WAF.
There is currently no confirmed evidence of active exploitation, but the vulnerability's ease of exploitation warrants immediate attention and mitigation.
Refer to the WordPress security announcements page for updates and advisories related to this vulnerability: https://wordpress.org/news/security/
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.