Vulnerabilidad en Jupiter X Core para WordPress (CVE-2025-2105)

El complemento Jupiter X Core para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 4.8.11 incluida, mediante la deserialización de entradas no confiables del parámetro 'file' de la función 'raven_download_file'. Esto permite a los atacantes inyectar un objeto PHP a través de un archivo PHAR. No se conoce ninguna cadena POP presente en el software vulnerable, lo que significa que esta vulnerabilidad no tiene impacto a menos que se instale en el sitio otro complemento o tema que contenga una cadena POP. Si existe una cadena POP a través de un complemento o tema adicional instalado en el sistema objetivo, el atacante podría realizar acciones como eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código, dependiendo de la cadena POP presente. Esta vulnerabilidad puede ser explotada por atacantes no autenticados cuando hay un formulario en el sitio con la acción de descarga de archivos y la posibilidad de subir archivos. De lo contrario, los usuarios con nivel de colaborador o superior podrían considerarla explotable, ya que podrían crear el formulario necesario para explotarla con éxito.