Peste 100.00 de site-uri WordPress expuse la o vulnerabilitate a plugin-ului Wishlist

Specialiștii în securitate cibernetică au dezvăluit o vulnerabilitate de securitate critică neremediată ce afectează pluginul TI WooCommerce Wishlist pentru WordPress, care ar putea fi exploatată de atacatori neautentificați pentru a încărca fișiere arbitrare.

TI WooCommerce Wishlist, care are peste 100 000 de instalări active, este un instrument care permite utilizatorilor site-urilor de comerț electronic să își salveze produsele preferate pentru mai târziu și să partajeze listele pe platformele social media.

Urmărită ca CVE-2025-47577, vulnerabilitatea prezintă un scor CvSS de 10/10 și un grad de severitate critic. Aceasta afectează toate versiunile anterioare și inclusiv 2.9.2. lansată la 29 noiembrie 2024. În prezent, nu există niciun patch disponibil.

Vulnerabilitatea constă într-o funcție numită tinvwl_upload_file_wc_fields_factory care, la rândul său, utilizează o altă funcție nativă WordPress wp_handle_upload pentru a efectua validarea, dar setează parametrii de suprascriere test_form și test_type la false.

Suprascrierea test_type este utilizată pentru a verifica dacă tipul MIME (Multipurpose Internet Mail Extension) al fișierului este cel prevăzut, în timp ce test_form este utilizat pentru a verifica dacă parametrul $_POST[‘action’] este cel prevăzut.

Prin setarea test_type la false, validarea tipului de fișier poate fi efectiv ocolită, permițând astfel încărcarea oricărui tip de fișier.

Acestea fiind spuse, funcția vulnerabilă este accesibilă prin intermediul tinvwl_meta_wc_fields_factory sau tinvwl_cart_meta_wc_fields_factory, care sunt disponibile numai atunci când pluginul WC Fields Factory este activ.

Acest lucru înseamnă, de asemenea, că exploatarea cu succes este posibilă numai dacă pluginul WC Fields Factory este instalat și activat pe site-ul WordPress și integrarea este activată pe pluginul TI WooCommerce Wishlist.

Într-un scenariu de atac, o persoană rău intenționată ar putea încărca un fișier PHP malițios și să obțină executarea codului de la distanță (RCE) prin accesarea directă a fișierului încărcat.

Se recomandă dezvoltatorilor de pluginuri să elimine sau să evite setarea test_type => false atunci când utilizează wp_handle_upload().

În absența unui patch, utilizatorii pluginului sunt îndemnați să îl dezactiveze și să îl șteargă de pe site-urile lor.

Sursă: https://thehackernews.com/2025/05/over-100000-wordpress-sites-at-risk.html