Resumen ejecutivo
Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin PopAd hasta la versión 1.0.4. Esta falla puede permitir a un atacante autenticado realizar solicitudes no autorizadas desde el servidor.
Fuente base de datos: Wordfence Intelligence
PopAd <= 1.0.4 - Authenticated (Admin+) Server-Side Request Forgery (Server-Side Request Forgery (SSRF))
PLUGIN
MEDIUM
CVE-2025-60175
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
La vulnerabilidad SSRF en el plugin PopAd permite a un usuario con privilegios de administrador manipular las solicitudes del servidor, lo que podría llevar a la exposición de información sensible o a la interacción no autorizada con servicios internos.
Impacto potencial
El impacto potencial de esta vulnerabilidad es medio, ya que permite a un atacante autenticado acceder a recursos internos del servidor, lo que podría comprometer la seguridad y la integridad de la infraestructura de la aplicación.
Vector de explotación
El vector de explotación implica que un atacante autenticado puede enviar solicitudes manipuladas a través de las funcionalidades del plugin, aprovechando la falta de validación de las URLs solicitadas.
Mitigación recomendada
Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin PopAd a la versión 1.0.4 o superior. Además, se sugiere revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening para limitar el acceso a recursos internos.
Señales de detección
Señales de riesgo incluyen actividad inusual en los registros de acceso del servidor, especialmente solicitudes a direcciones IP internas o a recursos que no deberían ser accesibles desde el exterior.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 1.0.4 del plugin PopAd. Es crucial que los administradores de sitios que utilizan este plugin verifiquen su versión actual.
Vulnerabilidades relacionadas
HIGH
PLUGIN
planyo-online-reservation-system
Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter
MEDIUM
PLUGIN
all-in-one-video-gallery
All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter
MEDIUM
PLUGIN
wp-import-export-lite
WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter
MEDIUM
PLUGIN
paid-member-subscriptions
Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery
MEDIUM
PLUGIN
geodirectory
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery
MEDIUM
PLUGIN
kirki
Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery
MEDIUM
PLUGIN
utm-dot-codes
utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery
HIGH
PLUGIN
kargo-takip
Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto