Más de 100.000 sitios web que utilizan WordPress están actualmente expuestos a ataques debido a una vulnerabilidad crítica sin parchear en el plugin TI WooCommerce Wishlist, una herramienta ampliamente utilizada para gestionar listas de deseos en tiendas online.
La vulnerabilidad, identificada como CVE-2025-47577, ha recibido una puntuación CVSS de 10.0, lo que la clasifica como extremadamente grave. Según el informe, la falla permite a atacantes no autenticados cargar archivos maliciosos directamente en el servidor del sitio web afectado, lo que abre la puerta a posibles ataques de ejecución remota de código (RCE).
El fallo técnico que permite el ataque
La causa de esta vulnerabilidad radica en cómo el plugin maneja la carga de archivos a través de la función tinvwl_upload_file_wc_fields_factory. Esta función, al utilizar la API nativa de WordPress wp_handle_upload(), lo hace con los parámetros test_form y test_type configurados como false.
Estos dos parámetros juegan un papel fundamental en el proceso de validación del archivo cargado. Al establecer test_form en false, se omite la validación del formulario de origen de la carga. Más grave aún es la desactivación de test_type, lo que permite que cualquier tipo de archivo, incluyendo los potencialmente peligrosos, sea aceptado por el sistema sin verificación.
Como resultado, un atacante puede explotar esta configuración para subir archivos maliciosos, como scripts ejecutables o shells, que podrían comprometer completamente el servidor web.
Una condición adicional que agrava el riesgo
No todos los sitios que tienen instalado TI WooCommerce Wishlist son inmediatamente vulnerables. La función afectada por la vulnerabilidad solo es accesible si el plugin WC Fields Factory también está instalado y habilitado, y si la opción de integración entre ambos plugins está activada dentro de la configuración.
Sin embargo, dada la popularidad de estas extensiones en entornos de comercio electrónico construidos con WordPress y WooCommerce, el número de instalaciones vulnerables podría seguir siendo elevado, especialmente en casos donde se desconozca la relación funcional entre los dos complementos.
Sin parche disponible: medidas inmediatas recomendadas
En el momento de la publicación del informe, no se ha lanzado ningún parche para corregir esta vulnerabilidad. Ante esta situación, los expertos recomiendan eliminar el plugin para reducir el riesgo de explotación
Fuente: https://thehackernews.com/
