Plataforma
wordpress
Componente
game-users-share-buttons
Corrigido em
1.3.1
Uma vulnerabilidade de acesso arbitrário de arquivos foi descoberta no plugin Game Users Share Buttons para WordPress. A falha reside na função ajaxDeleteTheme(), onde a validação do caminho do arquivo é insuficiente. Isso permite que atacantes de nível Subscriber manipulem o parâmetro themeNameId para excluir arquivos críticos, como wp-config.php, abrindo caminho para a execução remota de código. As versões afetadas são 1.0.0 até 1.3.0.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante, mesmo com privilégios de usuário Subscriber, exclua arquivos arbitrários no servidor WordPress. A manipulação do parâmetro themeNameId na requisição AJAX permite a inclusão de caminhos como ../../../../wp-config.php, possibilitando a exclusão do arquivo de configuração principal do WordPress. A exclusão do wp-config.php, por exemplo, pode levar à perda de dados sensíveis, como credenciais de banco de dados, e à interrupção completa do serviço. Em cenários mais graves, a exploração pode ser estendida para a execução de código malicioso no servidor, comprometendo a segurança de todo o ambiente WordPress.
A vulnerabilidade foi divulgada em 28 de junho de 2025. Não há evidências de exploração ativa em campanhas direcionadas, mas a facilidade de exploração e a natureza crítica dos arquivos que podem ser afetados tornam a vulnerabilidade um alvo atraente para atacantes. A ausência de um Proof of Concept (PoC) público não diminui o risco, pois a exploração é relativamente simples de implementar. A vulnerabilidade não foi adicionada ao KEV da CISA.
Websites using the Game Users Share Buttons plugin, particularly those running vulnerable versions (1.0.0–1.3.0), are at risk. Shared hosting environments where multiple WordPress sites share the same server are particularly vulnerable, as a compromise of one site could potentially lead to the compromise of others. Sites with weak file permissions or inadequate WAF protection are also at increased risk.
• wordpress / composer / npm:
grep -r "ajaxDeleteTheme" /var/www/html/wp-content/plugins/game-users-share-buttons/• wordpress / composer / npm:
wp plugin list --status=inactive | grep 'game-users-share-buttons'• wordpress / composer / npm:
curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=ajaxDeleteTheme&themeNameId=../../../../wp-config.php | grep -i '403 forbidden'disclosure
Status do Exploit
EPSS
1.21% (percentil 79%)
CISA SSVC
Vetor CVSS
A mitigação imediata envolve a atualização do plugin Game Users Share Buttons para uma versão corrigida, assim que disponível. Enquanto a atualização não é possível, considere desativar o plugin para evitar a exploração. Como alternativa, implemente regras de firewall de aplicação web (WAF) para bloquear requisições AJAX suspeitas que contenham caminhos de arquivo maliciosos. Monitore os logs do servidor WordPress em busca de tentativas de acesso ou exclusão de arquivos não autorizados. A validação rigorosa de entradas de usuário na função ajaxDeleteTheme() é crucial para prevenir futuras ocorrências desta vulnerabilidade.
Actualice el plugin Game Users Share Buttons a la última versión disponible, ya que las versiones posteriores a la 1.3.0 incluyen correcciones para esta vulnerabilidad. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar cualquier plugin.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-6755 is a vulnerability in the Game Users Share Buttons WordPress plugin allowing authenticated users to delete arbitrary files, potentially leading to remote code execution. It affects versions 1.0.0–1.3.0 and has a CVSS score of 8.8 (HIGH).
You are affected if your WordPress site uses the Game Users Share Buttons plugin in versions 1.0.0 through 1.3.0. Check your plugin versions immediately to determine your exposure.
Upgrade the Game Users Share Buttons plugin to a patched version as soon as it's available. Until then, disable the plugin or implement a WAF rule to block malicious requests.
Active exploitation is not currently confirmed, but the vulnerability's severity and ease of exploitation suggest it could become a target. Monitor your systems for suspicious activity.
Refer to the plugin developer's website or WordPress.org plugin repository for the official advisory and update information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.