Fuente base de datos: Wordfence Intelligence

Comment Edit Core – Simple Comment Editing <= 3.0.33 - Authenticated (Admin+) Server-Side Request Forgery (Server-Side Request Forgery (SSRF)) - version 3.1.0

PLUGIN MEDIUM CVE-2025-24703

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin Simple Comment Editing, que afecta a las versiones hasta la 3.0.33. Esta vulnerabilidad puede ser explotada por administradores autenticados, lo que incrementa su riesgo potencial.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes del servidor, permitiendo a un atacante autenticado enviar peticiones a recursos internos o externos, eludiendo las restricciones de seguridad.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante potencialmente acceder a información sensible o realizar acciones no autorizadas en el servidor, lo que podría comprometer la integridad y disponibilidad de los datos.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se lleva a cabo mediante la manipulación de parámetros en las solicitudes del plugin, lo que permite al atacante redirigir las peticiones a direcciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.1.0 o superior. Además, se sugiere revisar y reforzar las configuraciones de seguridad del servidor y limitar las capacidades de los administradores según sea necesario.

Señales de detección

Las señales de posible explotación incluyen registros de solicitudes inusuales que intentan acceder a recursos internos o patrones de comportamiento anómalo por parte de usuarios administradores.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.0 del plugin Simple Comment Editing.

Vulnerabilidades relacionadas

HIGH PLUGIN

planyo-online-reservation-system

Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter

MEDIUM PLUGIN

all-in-one-video-gallery

All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery

MEDIUM PLUGIN

geodirectory

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

utm-dot-codes

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto