Platform
wordpress
Component
user-registration-plugin-for-woocommerce
Opgelost in
2.1.3
De kwetsbaarheid CVE-2025-60207 is een kritieke 'Arbitrary File Access' kwetsbaarheid in de plugin 'Custom User Registration Fields for WooCommerce'. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige bestanden te uploaden, potentieel een web shell te plaatsen en de server over te nemen. De kwetsbaarheid treft versies van de plugin van 0 tot en met 2.1.2. Een fix is beschikbaar in versie 2.1.3.
Een succesvolle exploitatie van CVE-2025-60207 kan leiden tot een volledige overname van de webserver waarop de WooCommerce-winkel draait. Een aanvaller kan een web shell uploaden, waardoor ze commando's op de server kunnen uitvoeren, gevoelige data kunnen stelen (zoals klantgegevens, database-inhoud, en betaalinformatie), en de website kunnen manipuleren. De impact is aanzienlijk, aangezien de aanvaller volledige controle over de server kan krijgen. Dit kan resulteren in dataverlies, reputatieschade en financiële verliezen voor de eigenaar van de webwinkel. De mogelijkheid om een web shell te uploaden, maakt dit een bijzonder gevaarlijke kwetsbaarheid, vergelijkbaar met exploits die toegang tot de server mogelijk maken.
De kwetsbaarheid CVE-2025-60207 is openbaar bekend en de publicatiedatum is 2025-11-06. Er is momenteel geen informatie beschikbaar over actieve campagnes die deze kwetsbaarheid uitbuiten, maar de kritieke ernst en de mogelijkheid om een web shell te uploaden, maken het een aantrekkelijk doelwit voor aanvallers. De EPSS score is momenteel niet bekend, maar gezien de ernst en de openbare bekendheid, is een medium tot hoog risico waarschijnlijk. Er zijn momenteel geen publieke Proof-of-Concept (POC) exploits bekend, maar dit kan snel veranderen.
Exploit Status
EPSS
0.08% (24% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-60207 is het updaten van de 'Custom User Registration Fields for WooCommerce' plugin naar versie 2.1.3 of hoger. Indien een directe upgrade niet mogelijk is (bijvoorbeeld door compatibiliteitsproblemen met andere plugins), overweeg dan tijdelijke maatregelen zoals het beperken van bestandstypes die geüpload kunnen worden via de plugin, of het implementeren van een Web Application Firewall (WAF) om verdachte uploads te blokkeren. Controleer ook de serverconfiguratie om te zorgen dat de upload directory niet direct toegankelijk is via het web. Na de upgrade, controleer de serverlogs op verdachte activiteiten en verifieer dat de plugin correct werkt.
Geen bekende patch beschikbaar. Bestudeer de details van de kwetsbaarheid grondig en pas mitigaties toe op basis van de risicotolerantie van uw organisatie. Het kan het beste zijn om de getroffen software te verwijderen en een vervanging te zoeken.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
It's a CRITICAL vulnerability in the Addify Custom User Registration Fields for WooCommerce plugin allowing attackers to upload any file, including web shells, potentially leading to full server compromise.
If you are using Addify Custom User Registration Fields for WooCommerce versions 0 through 2.1.2, you are vulnerable. Check your plugin versions immediately.
Upgrade the plugin to version 2.1.3 or later. If immediate upgrade isn't possible, implement temporary workarounds like restricting file types and using a WAF.
While no public exploits are currently available, the vulnerability's severity makes it a likely target, so proactive mitigation is crucial.
Refer to the official WooCommerce security advisories and the Addify plugin developer's website for updates and further information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.