Vulnerabilidad en Game Users Share Buttons para WordPress (CVE-2025-6755)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
28/06/2025
Última modificación:
07/07/2025
Descripción
El complemento Game Users Share Buttons para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función ajaxDeleteTheme() en todas las versiones hasta la 1.3.0 incluida. Esto permite a atacantes de nivel de suscriptor añadir rutas de archivo arbitrarias (como ../../../../wp-config.php) al parámetro themeNameId de la solicitud AJAX, lo que puede provocar la ejecución remota de código.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:gameusers:game_users_share_button:*:*:*:*:*:wordpress:*:* | 1.3.0 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página