CVE-2025-12539
TNC Toolbox: Web Performance <= 1.4.2 - Exposición de Información Sensible No Autenticada que Permite Escalada de Privilegios/Toma de Control de la Cuenta cPanel
- Publicado
- 11 nov 2025
- Actualizado
- 8 abr 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 62,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento TNC Toolbox: Web Performance para WordPress es vulnerable a la Exposición de Información Sensible en todas las versiones hasta, e incluyendo, la 1.4.2. Esto se debe a que el complemento almacena las credenciales de la API de cPanel (nombre de host, nombre de usuario y clave de API) en archivos dentro del directorio wp-content accesible desde la web sin la protección adecuada en la función "Tnc_Wp_Toolbox_Settings::save_settings". Esto hace posible que atacantes no autenticados recuperen estas credenciales y las utilicen para interactuar con la API de cPanel, lo que puede conducir a la carga arbitraria de archivos, la ejecución remota de código y el compromiso total del entorno de alojamiento.
Fuentes
1- CVE-2025-12539Exploit
TNC Toolbox: Web Performance <= 1.4.2 - Exposición de información sensible no autenticado a escalada de privilegios/toma de control de cuenta cPanel
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.