Investigadores de Patchstack han identificado una vulnerabilidad crítica con un puntaje CVSS de 10, denominada CVE-2025-47577. Esta vulnerabilidad afecta al plugin TI WooCommerce Wishlist utilizado por más de 100 000 portales WordPress.
Riesgos asociados a la vulnerabilidad
La vulnerabilidad permite a un atacante no autenticado subir archivos arbitrarios y ejecutar código remoto (RCE) en el servidor. Estos riesgos pueden permitir que un atacante acceda a datos sensibles o modifique contenido del sitio web afectado.
Detalles técnicos de la vulnerabilidad
El problema surge debido a la función tinvwl_upload_file_wc_fields_factory que delega la carga de archivos al helper nativo wp_handle_upload(). Los parámetros test_form y test_type se establecen a false, lo que anula la validación del formulario y especialmente el tipo MIME.
Condiciones para la exposición
El punto de entrada se expone cuando está instalado el plugin WC Fields Factory y la integración correspondiente esté activa. La vulnerabilidad afecta a todas las versiones del plugin hasta la 2.9.2, publicada el 29 de noviembre de 2024.
Acciones recomendadas
A fecha de publicación, no existe parche oficial para esta vulnerabilidad. Se recomienda desactivar y eliminar el complemento hasta que el proveedor emita una corrección. También se sugiere restringir la ejecución de archivos en la carpeta /wp-content/uploads/.