Resumen ejecutivo
Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin ANAC XML Viewer en versiones hasta la 1.8.2. Esta vulnerabilidad afecta a usuarios autenticados con rol de contribuidor o superior.
Fuente base de datos: Wordfence Intelligence
ANAC XML Viewer <= 1.8.2 - Authenticated (Contributor+) Server-Side Request Forgery (Server-Side Request Forgery (SSRF)) - version 1.8.3
PLUGIN
MEDIUM
CVE-2025-64252
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
El fallo permite a un atacante autenticado enviar solicitudes maliciosas desde el servidor, lo que puede comprometer la seguridad del sistema al acceder a recursos internos no expuestos externamente. La superficie de ataque se centra en las funcionalidades del plugin que manejan peticiones externas.
Impacto potencial
La explotación de esta vulnerabilidad podría permitir a un atacante obtener información sensible del servidor o realizar acciones no autorizadas, lo que podría afectar la integridad y disponibilidad del sistema, así como la confianza del usuario en la plataforma.
Vector de explotación
Normalmente, un atacante autenticado podría manipular las solicitudes del servidor a través de parámetros del plugin, redirigiendo las peticiones a recursos internos o externos no seguros.
Mitigación recomendada
Se recomienda actualizar el plugin ANAC XML Viewer a la versión 1.8.3 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de los roles de usuario y aplicar medidas de seguridad adicionales en la configuración del servidor.
Señales de detección
Señales de riesgo incluyen registros de acceso inusuales o intentos de acceso a recursos internos desde direcciones IP no reconocidas. Monitorizar la actividad de usuarios con permisos elevados también puede ayudar a detectar posibles intentos de explotación.
Alcance afectado
Las versiones del plugin ANAC XML Viewer hasta la 1.8.2 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar las actualizaciones necesarias.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
independent-analytics
Independent Analytics <= 2.14.9 - Unauthenticated Server-Side Request Forgery via Tracking Route
MEDIUM
PLUGIN
fluent-crm
FluentCRM <= 2.9.87 - Unauthenticated Blind Server-Side Request Forgery via 'SubscribeURL' Parameter
MEDIUM
PLUGIN
nexa-blocks
Nexa Blocks <= 1.1.1 - Unauthenticated Blind Server-Side Request Forgery via 'demo_json_file' Parameter
MEDIUM
PLUGIN
gutenverse
Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem <= 3.5.3 - Authenticated (Contributor+) Server-Side Request Forgery via 'imageUrl'
MEDIUM
THEME
ona
Ona <= 1.26 - Authenticated (Administrator+) Blind Server-Side Request Forgery via 'download_link' Parameter
HIGH
PLUGIN
pixelyoursite-pro
PixelYourSite Pro <= 12.5.0.1 - Unauthenticated Blind Server-Side Request Forgery via 'urls[]' Parameter
HIGH
PLUGIN
royal-elementor-addons
Royal Addons for Elementor <= 1.7.1057 - Authenticated (Contributor+) Server-Side Request Forgery via CSV URL Parameter
MEDIUM
PLUGIN
userswp
UsersWP <= 1.2.58 - Authenticated (Subscriber+) Server-Side Request Forgery via 'uwp_crop' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto