Se ha identificado una vulnerabilidad crítica en el tema Alone – Charity Multipurpose Non-profit WordPress Theme, que permite a actores de amenazas explotar una falla con un impacto significativo. La vulnerabilidad, catalogada como CVE-2025-5394, tiene una puntuación CVSS de 9,8 y fue descubierta por el investigador de seguridad Thái An.
Detalles técnicos
Según Wordfence, la vulnerabilidad se relaciona con la carga de archivos arbitrarios que afecta a todas las versiones del plugin anteriores a la 7.8.3. Esta falla fue corregida en la versión 7.8.5, publicada el 16 de junio de 2025.
CVE-2025-5394 se basa en una función de instalación de plugins llamada «alone_import_pack_install_plugin()». La falta de comprobación de capacidades permite a usuarios no autenticados implementar plugins arbitrarios desde fuentes remotas mediante AJAX y ejecutar código.
Riesgos asociados
«Esta vulnerabilidad permite que un atacante no autenticado cargue archivos arbitrarios a un sitio vulnerable y ejecute código remoto, lo que suele aprovecharse para tomar el control completo del sitio», declaró István Márton de Wordfence.
Actividad de explotación
La evidencia muestra que la vulnerabilidad CVE-2025-5394 comenzó a explotarse el 12 de julio, dos días antes de su divulgación pública. Esto indica que los actores responsables podrían haber estado monitoreando activamente los cambios de código en busca de nuevas vulnerabilidades corregidas. La compañía afirmó haber bloqueado 120.900 intentos de explotación dirigidos a la falla.
Impacto y ataques observados
En los ataques observados, la falla se usa para cargar un archivo ZIP («wp-classic-editor.zip» o «background-image-cropper.zip») que contiene una puerta trasera basada en PHP para ejecutar comandos remotos y cargar archivos adicionales. También se incluyen administradores de archivos completos y puertas traseras capaces de crear cuentas de administrador fraudulentas.
Recomendaciones de mitigación
Para mitigar posibles amenazas, se recomienda a los propietarios de sitios de WordPress que utilicen el tema y instalen las últimas actualizaciones. Además, se sugiere comprobar si hay usuarios administradores sospechosos y analizar los registros en busca de la solicitud «/wp-admin/admin-ajax.php?action=alone_import_pack_install_plugin».