Fuente base de datos: Wordfence Intelligence

WPO365 <= 40.0 - Authenticated (Subscriber+) Server-Side Request Forgery en Wpo365 Login (Server-Side Request Forgery (SSRF)) - version 40.1

PLUGIN MEDIUM CVE-2025-67961

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin WPO365 en versiones hasta la 40.0. Esta vulnerabilidad podría permitir a un atacante autenticado realizar solicitudes maliciosas desde el servidor.

Contexto técnico

El fallo de seguridad se origina en la forma en que el plugin maneja las solicitudes del servidor, permitiendo que usuarios con privilegios de suscriptor o superiores puedan enviar peticiones a direcciones internas o externas de forma no controlada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a recursos internos del servidor, lo que podría comprometer la seguridad de la instalación y exponer datos sensibles.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante esté autenticado en el sistema, lo que limita el riesgo a usuarios que ya tienen acceso al panel de administración del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WPO365 a la versión 40.1 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del servidor.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de solicitudes inusuales desde direcciones internas o accesos no autorizados por parte de usuarios con privilegios limitados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WPO365 hasta la 40.0. La versión 40.1 y posteriores corrigen esta vulnerabilidad.

Vulnerabilidades relacionadas

HIGH PLUGIN

planyo-online-reservation-system

Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter

MEDIUM PLUGIN

all-in-one-video-gallery

All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery

MEDIUM PLUGIN

geodirectory

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

utm-dot-codes

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto