Fuente base de datos: Wordfence Intelligence

RS WP Book Showcase <= 6.7.41 - Unauthenticated Arbitrary Shortcode Execution en RS WP Books Showcase (vulnerabilidad)

PLUGIN MEDIUM CVE-2025-48119

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución de shortcode arbitrario no autenticado en el plugin RS WP Book Showcase en versiones hasta 6.7.41. Esta vulnerabilidad presenta un riesgo medio y podría permitir a atacantes ejecutar código malicioso sin necesidad de autenticación.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que permite la ejecución de shortcodes sin requerir que el usuario esté autenticado. Esto se puede aprovechar a través de peticiones HTTP maliciosas que interactúan con el plugin en un entorno vulnerable.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante ejecute código arbitrario en el sitio web, lo que podría comprometer la integridad y disponibilidad del mismo. Esto puede resultar en la pérdida de datos, alteraciones en el contenido del sitio o incluso un ataque más amplio a la infraestructura web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones manipuladas a las funciones del plugin que procesan shortcodes, lo que les permite ejecutar código no autorizado sin autenticarse previamente.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin RS WP Book Showcase a la versión 6.7.41 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como el uso de firewalls y la monitorización de logs de acceso para detectar actividades inusuales.

Señales de detección

Señales de riesgo incluyen un aumento en las peticiones HTTP inusuales al plugin, así como la aparición de comportamientos anómalos en el sitio web que podrían indicar la ejecución de shortcodes no autorizados.

Alcance afectado

Las versiones del plugin RS WP Book Showcase hasta la 6.7.41 son las que se ven afectadas por esta vulnerabilidad. Se recomienda a los administradores de sitios que utilicen este plugin revisar sus instalaciones.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto