Crypto Tool <= 2.22 - Unauthenticated Information Exposure via Global Authentication State (vulnerabilidad) - version 3.0.0

Resumen ejecutivo

La vulnerabilidad en el plugin Crypto Tool, identificada como CVE-2025-11986, permite la exposición no autenticada de información a través del estado de autenticación global. Esta falla, con una severidad media, afecta a versiones anteriores a la 2.22 del plugin.

Contexto técnico

El fallo se origina en un bypass de autenticación que permite a los atacantes acceder a información sensible sin necesidad de autenticarse. La superficie de ataque se centra en la gestión del estado de autenticación, lo que puede llevar a la divulgación de datos críticos.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede incluir la exposición de datos sensibles de los usuarios y la posibilidad de que un atacante obtenga información que comprometa la seguridad del sitio. Esto podría resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando peticiones maliciosas que no requieren autenticación, lo que les permite acceder a información que debería estar protegida.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.0.0. Actualiza crypto a la versión 3.0.0 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.0.0, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a información sensible y patrones de tráfico inusuales en las solicitudes al plugin. Monitorizar los registros de actividad puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin Crypto Tool anteriores a la 2.22 son las afectadas. Es importante verificar la versión instalada en todas las instalaciones del plugin para asegurar que no estén en riesgo.