Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Game Users Share Buttons para WordPress (CVE-2025-6755)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
28/06/2025
Última modificación:
07/07/2025

Descripción

El complemento Game Users Share Buttons para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función ajaxDeleteTheme() en todas las versiones hasta la 1.3.0 incluida. Esto permite a atacantes de nivel de suscriptor añadir rutas de archivo arbitrarias (como ../../../../wp-config.php) al parámetro themeNameId de la solicitud AJAX, lo que puede provocar la ejecución remota de código.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:gameusers:game_users_share_button:*:*:*:*:*:wordpress:*:* 1.3.0 (incluyendo)