Fuente base de datos: Wordfence Intelligence

Motors – Car Dealership & Classified Listings Plugin <= 1.4.89 - Authenticated (Subscriber+) Arbitrary File Deletion

PLUGIN HIGH CVE-2025-10494

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Motors – Car Dealership & Classified Listings' que permite la eliminación arbitraria de archivos para usuarios autenticados con rol de suscriptor o superior. Esta falla podría comprometer la integridad del sistema al permitir la manipulación de archivos sensibles.

Contexto técnico

La vulnerabilidad se encuentra en el manejo inadecuado de las solicitudes de eliminación de archivos, lo que permite a los usuarios autenticados, específicamente aquellos con rol de suscriptor o superior, eliminar archivos arbitrarios del servidor. Esto expone una superficie de ataque que puede ser aprovechada para afectar la funcionalidad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que permite a un atacante autenticado eliminar archivos críticos del sistema, lo que podría llevar a la pérdida de datos, interrupciones en el servicio y compromisos de seguridad adicionales. Además, esto puede afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a través de la interfaz del plugin, una vez que han logrado autenticarse como usuarios válidos. Esto les permite ejecutar comandos de eliminación de archivos sin restricciones adecuadas.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.4.90 o superior, donde se ha corregido la vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la implementación de un firewall de aplicaciones web (WAF).

Señales de detección

Señales de posible explotación incluyen registros de eliminación de archivos inusuales o no autorizados, así como intentos de acceso a funciones del plugin por parte de usuarios con privilegios mínimos. Monitorizar la actividad de usuarios autenticados puede ayudar a detectar comportamientos sospechosos.

Alcance afectado

Las versiones del plugin 'Motors – Car Dealership & Classified Listings' hasta la 1.4.89 son vulnerables. Las instalaciones que utilicen estas versiones deben ser consideradas en riesgo hasta que se realice la actualización correspondiente.