CVE-2025-12733 — WP All Import – Drag & Drop Import for CSV, XML, Excel & Google Sheets [wp-all-import] < 4.0.0

CVE	Vulnerabilidad	Tipo	Gravedad	Afectadas	Corregido en	Publicado	Estado
CVE-2025-12733	WP All Import – Drag & Drop Import for CSV, XML, Excel & Google Sheets [wp-all-import] < 4.0.0	Control incorrecto de la generación de código (inyección de código)	Alta 8,8	< 4.0.0	4.0.0	2025-11-12	—

CVE-2025-12733

El plugin Import any XML, CSV or Excel File to WordPress (WP All Import) para WordPress es vulnerable a Remote Code Execution en todas las versiones hasta y inclusive la 3.9.6. Esto se debe al uso de eval() en la entrada no saneada proporcionada por el usuario en la función pmxi_if dentro del archivo helpers/functions.php. Esto permite que los atacantes autenticados, con capacidades de importación (generalmente administradores), inyecten y ejecuten código PHP arbitrario en el servidor a través de plantillas de importación elaboradas. Esto puede llevar a Remote Code Execution (RCE).

Traducción automática del texto original de la fuente. Ver original

Fuente: CVE.org

Escanea tu sitio WordPress gratis

Sin registro, sin tarjeta de crédito — ingresa tu URL y obtén un informe de seguridad en segundos.

Ejecutar un escaneo gratis Obtener el plugin (gratis)