CVE-2025-1562
Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit <= 3.5.3 - Falta de autorización para la instalación arbitraria de plugins sin autenticar
- Publicado
- 18 jun 2025
- Actualizado
- 8 abr 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 88,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit para WordPress es vulnerable a la instalación no autorizada de complementos arbitrarios debido a la falta de una comprobación de capacidad en la función install_or_activate_addon_plugins() y a un hash nonce débil en todas las versiones hasta la 3.5.3 incluida. Esto permite que atacantes no autenticados instalen complementos arbitrarios en el sitio web que pueden utilizarse para infectar aún más un sitio vulnerable.
Fuentes
1Exploit de prueba de concepto para CVE-2025-1562, una vulnerabilidad de activación de plugins de WordPress que permite ejecución remota de código a través de solicitudes REST API manipuladas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.