CVE-2025-2907
Order Delivery Date Pro for WooCommerce < 12.3.1 - Actualización Arbitraria de Opciones No Autenticada
- Publicado
- 26 abr 2025
- Actualizado
- 29 abr 2025
- Asignación de CNA
- WPScan
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 71,6 %
- Fecha del modelo
- 13 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento Order Delivery Date WordPress anterior a la versión 12.3.1 no cuenta con comprobaciones de autorización ni CSRF al importar la configuración. Además, carece de las comprobaciones adecuadas para actualizar únicamente las opciones relevantes para el complemento de WordPress Order Delivery Date anterior a la versión 12.3.1. Esto permite que los atacantes modifiquen el rol de usuario predeterminado (default_user_role) a administrador y usuarios (users_can_register), lo que les permite registrarse como administradores del sitio y obtener el control total del mismo.
Fuentes
http/cves/2025/CVE-2025-2907.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
- CVE-2025-2907Exploit
Order Delivery Date Pro para WooCommerce < 12.3.1 - Actualización Arbitraria de Opciones No Autenticada
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.