Vulnerabilidad en Order Delivery Date WordPress (CVE-2025-2907)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

26/04/2025

Última modificación:

14/05/2025

Descripción

El complemento Order Delivery Date WordPress anterior a la versión 12.3.1 no cuenta con comprobaciones de autorización ni CSRF al importar la configuración. Además, carece de las comprobaciones adecuadas para actualizar únicamente las opciones relevantes para el complemento de WordPress Order Delivery Date anterior a la versión 12.3.1. Esto permite que los atacantes modifiquen el rol de usuario predeterminado (default_user_role) a administrador y usuarios (users_can_register), lo que les permite registrarse como administradores del sitio y obtener el control total del mismo.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto