CVE-2025-4396
Relevanssi <= 4.24.4 (Free) y <= 2.27.5 (Premium) - Inyección SQL no autenticada
- Publicado
- 13 may 2025
- Actualizado
- 8 abr 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 85,0 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento Relevanssi – A Better Search para WordPress es vulnerable a la inyección SQL basada en tiempo mediante los parámetros de consulta "cats" y "tags" en todas las versiones hasta la 4.24.4 (Gratuita) y la 2.27.4 (Premium) incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación de la consulta SQL existente. Esto permite a atacantes no autenticados añadir consultas SQL adicionales a las consultas existentes, que pueden utilizarse para extraer información confidencial de la base de datos.
Fuentes
2- CVE-2025-4396Exploit
Este repositorio contiene un kit de herramientas práctico de investigación y validación para CVE-2025-4396, una inyección SQL ciega basada en tiempo no autenticada que afecta al plugin Relevanssi de WordPress a través del parámetro `cats`.
- CVE-2025-4396Exploit
CVE-2025-4396 - Inyección SQL ciega basada en tiempo en WordPress Relevanssi
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.