Fuente base de datos: Wordfence Intelligence

Mentoring <= 1.2.8 - Unauthenticated Privilege Escalation in mentoring_process_registration (escalada de privilegios) - version 1.2.9

PLUGIN CRITICAL CVE-2025-13618

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Mentoring (versión <= 1.2.8) que permite la escalada de privilegios sin autenticación. Esto puede comprometer la seguridad operativa de los sitios afectados, permitiendo a atacantes obtener acceso no autorizado.

Contexto técnico

El fallo se encuentra en el proceso de registro del plugin Mentoring, donde un atacante puede explotar la falta de validación de permisos para ejecutar acciones que normalmente requieren privilegios elevados. La superficie de ataque es accesible a través de solicitudes HTTP no autenticadas.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante obtener control sobre funciones administrativas del sitio, lo que podría resultar en la manipulación de contenido, acceso a datos sensibles o incluso la toma completa del control del sitio. Esto puede tener repercusiones serias en la reputación y la confianza del negocio.

Vector de explotación

Los atacantes pueden enviar solicitudes maliciosas al endpoint del proceso de registro sin necesidad de estar autenticados, lo que les permite ejecutar acciones no autorizadas.

Mitigación recomendada

Actualizar el plugin Mentoring a la versión 1.2.9 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar actividades sospechosas relacionadas con el proceso de registro. Implementar medidas de seguridad adicionales, como la autenticación de dos factores y la limitación de acceso a áreas administrativas.

Señales de detección

Monitorear logs de acceso en busca de patrones inusuales de solicitudes al proceso de registro del plugin, así como cambios no autorizados en la configuración del sitio.

Alcance afectado

Todas las instalaciones que utilicen el plugin Mentoring en versiones 1.2.8 o anteriores son vulnerables. No se han confirmado casos en versiones posteriores a 1.2.9.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

single-sign-on-for-tng

Single Sign On For TNG <= 2.0.0 - Unauthenticated Privilege Escalation via Unverified Password Change

HIGH PLUGIN

pronamic-ideal

Pronamic Pay <= 10.1.0 - Authenticated (Subscriber+) Privilege Escalation via Gravity Forms 'Update user role' Field

HIGH PLUGIN

plugins-on-steroids

Eazy Plugin Manager <= 4.4.1 - Authenticated (Subscriber+) Privilege Escalation via pos_get_option AJAX Action and admin/login REST Endpoint

HIGH PLUGIN

password-requirements

WP Password Policy <= 3.7.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

eventon-action-user

EventON Action User <= 2.5.14 - Missing Authorization to Unauthenticated Privilege Escalation via evoau_save_capability AJAX Action

HIGH PLUGIN

wpify-woo

WPify Woo <= 5.4.16 - Authenticated (Shop Manager+) Privilege Escalation via Arbitrary Option Update via save_option REST Endpoint

CRITICAL PLUGIN

wp-base-booking-of-appointments-services-and-events

WP BASE Booking of Appointments, Services and Events <= 6.3.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

mobile-dj-manager

MDJM Event Management <= 1.7.8.4 - Authenticated (Subscriber+) Privilege Escalation via 'set-permissions' and 'change_role' Handlers

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto