Platform
wordpress
Component
workreap
Opgelost in
3.3.6
CVE-2025-59566 beschrijft een 'Path Traversal' kwetsbaarheid in de Workreap WordPress plugin van AmentoTech. Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie of zelfs code-uitvoering. De kwetsbaarheid treft versies van Workreap tussen 0.0.0 en 3.3.5. Een fix is beschikbaar in versie 3.3.6.
De 'Path Traversal' kwetsbaarheid in Workreap stelt een aanvaller in staat om de beperkingen van een pad te omzeilen en toegang te krijgen tot bestanden buiten de beoogde directory. Dit kan leiden tot het lezen van gevoelige configuratiebestanden, broncode, of andere kritieke data. In het ergste geval kan een aanvaller deze kwetsbaarheid misbruiken om code uit te voeren op de server, waardoor de volledige website gecompromitteerd kan worden. De impact is aanzienlijk, vooral voor websites die Workreap gebruiken voor het beheren van projecten of taken, aangezien deze vaak gevoelige informatie bevatten.
Op dit moment is er geen publieke exploit beschikbaar voor CVE-2025-59566. De kwetsbaarheid is openbaar gemaakt op 2025-10-22. De kans op exploitatie is momenteel laag, maar het is belangrijk om de plugin zo snel mogelijk te patchen, aangezien de beschikbaarheid van een proof-of-concept (POC) de exploitatiekans aanzienlijk kan verhogen. Er is geen vermelding in de CISA KEV catalogus.
WordPress websites utilizing the Workreap plugin, particularly those running older versions (0.0.0–3.3.5), are at risk. Shared hosting environments where plugin updates are managed centrally are also potentially vulnerable, as are websites with limited security configurations.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/workreap/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/workreap/wp-content/../etc/passwd' # Attempt path traversaldisclosure
Exploit Status
EPSS
0.07% (20% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-59566 is het upgraden van de Workreap plugin naar versie 3.3.6 of hoger. Indien een upgrade momenteel niet mogelijk is, implementeer dan tijdelijke restricties op bestandstoegang via de .htaccess file of een WordPress security plugin. Controleer alle uploads op ongebruikelijke bestandsnamen of paden. Overweeg het gebruik van een Web Application Firewall (WAF) om verdachte verzoeken te blokkeren. Na de upgrade, controleer de server logs op pogingen tot bestandstoegang buiten de toegestane directory's.
Actualice el plugin Workreap a una versión posterior a 3.3.5 para mitigar la vulnerabilidad de recorrido de ruta. Verifique la página del plugin en WordPress.org para obtener la última versión disponible y siga las instrucciones de actualización proporcionadas por el desarrollador.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-59566 is a HIGH severity vulnerability in the Workreap plugin for WordPress that allows attackers to read arbitrary files on the server due to improper path validation.
You are affected if you are using Workreap plugin versions 0.0.0 through 3.3.5. Upgrade to version 3.3.6 to resolve the vulnerability.
Upgrade the Workreap plugin to version 3.3.6 or later. As a temporary workaround, implement a WAF rule to block path traversal attempts.
As of the public disclosure date, there are no confirmed reports of active exploitation, but the vulnerability's severity warrants immediate attention.
Refer to the AmentoTech advisory and the WordPress plugin directory for updates and further information regarding CVE-2025-59566.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.