CVE-2025-4603
eMagicOne Store Manager for WooCommerce <= 1.2.5 - Eliminación Arbitraria de Archivos No Autenticada
- Publicado
- 24 may 2025
- Actualizado
- 27 jul 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:HBajo · próximos 30 días
- Percentil
- 71,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento eMagicOne Store Manager para WooCommerce de WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función delete_file() en todas las versiones hasta la 1.2.5 incluida. Esto permite que atacantes no autenticados eliminen archivos arbitrarios en el servidor, lo que puede provocar fácilmente la ejecución remota de código al eliminar el archivo correcto (como wp-config.php). Esto solo es explotable por atacantes no autenticados en configuraciones predeterminadas donde la contraseña predeterminada se mantiene como 1:1 o cuando el atacante obtiene acceso a las credenciales.
Fuentes
1- CVE-2025-4603Exploit
eMagicOne Store Manager for WooCommerce <= 1.2.5 - Eliminación Arbitraria de Archivos sin Autenticación
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.