CVE-2025-5058
eMagicOne Store Manager for WooCommerce <= 1.2.5 - Subida arbitraria de archivos sin autenticación mediante set_image()
- Publicado
- 24 may 2025
- Actualizado
- 27 jul 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 70,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento eMagicOne Store Manager para WooCommerce de WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función set_image() en todas las versiones hasta la 1.2.5 incluida. Esto permite que atacantes no autenticados carguen archivos arbitrarios en el servidor del sitio afectado, lo que podría posibilitar la ejecución remota de código. Esto solo es explotable por atacantes no autenticados en configuraciones predeterminadas donde la contraseña predeterminada se mantiene como 1:1 o cuando el atacante obtiene acceso a las credenciales.
Fuentes
1- CVE-2025-5058Exploit
eMagicOne Store Manager for WooCommerce <= 1.2.5 - Subida de archivos arbitraria no autenticada a través de la tarea set_image
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.