Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2025-10656 |
| Fabricante | PHP Group |
| Producto | PHP |
| Fecha de publicación | 2026-07-29 |
| Severidad | CRITICAL |
| CVSS | 9.8 |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2025-10656 es una vulnerabilidad de tipo Missing Authorization (CWE-863) en el plugin Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light, desarrollado por holest. La falla se encuentra en la función user_filter del archivo sellingcommander.php y permite que atacantes no autenticados creen cuentas de administrador en WordPress. Esto significa que cualquier persona sin credenciales previas puede obtener control total del sitio web afectado, lo que constituye un riesgo de seguridad crítico.
Productos y versiones vulnerables
Según las fuentes oficiales, el producto afectado es el plugin Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light en todas las versiones hasta la 2.4.37 inclusive.
| Vendedor | Producto | Versión | Estado |
|---|---|---|---|
| holest | Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light | ≤ 2.4.37 | Afectado |
Impacto y riesgo
La vulnerabilidad tiene un puntaje CVSS de 9.8 (CRITICAL) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica:
- Confidencialidad: Alta – un atacante puede acceder a información sensible.
- Integridad: Alta – puede modificar datos arbitrariamente.
- Disponibilidad: Alta – puede afectar la disponibilidad del servicio.
- Puntuación de explotación: 3.9 (fácil de explotar).
- Puntuación de impacto: 5.9 (impacto alto).
- Puntuación de prioridad: 200 (muy alta).
El riesgo es extremadamente alto debido a la posibilidad de que un atacante cree cuentas de administrador sin autenticación, comprometiendo completamente el sitio web y potencialmente los datos de clientes y transacciones.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS superior a 9.0, no en evidencia de explotación. Sin embargo, dado el alto perfil de la vulnerabilidad, se recomienda actuar con urgencia.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Inicia sesión en el panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Busca Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light.
- Comprueba la versión instalada. Si es ≤ 2.4.37, estás afectado.
- Además, revisa la lista de usuarios administradores para detectar cuentas no autorizadas.
Mitigación y actualización
Acción recomendada: Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Si el fabricante ha lanzado una versión corregida, actualiza el plugin de inmediato. En caso de que no haya parche disponible, considera desactivar o eliminar el plugin hasta que se publique una solución.
Checklist para administradores
- ☐ Verificar la versión del plugin Spreadsheet Price Changer.
- ☐ Si la versión es ≤ 2.4.37, desactivar o eliminar el plugin de inmediato.
- ☐ Revisar la lista de usuarios administradores y eliminar cuentas sospechosas.
- ☐ Cambiar contraseñas de todos los usuarios administradores.
- ☐ Monitorear logs de actividad para detectar accesos no autorizados.
- ☐ Aplicar el parche oficial cuando esté disponible.
- ☐ Considerar instalar un firewall de aplicaciones web (WAF) para mitigar temporalmente.
Preguntas frecuentes
- ¿Qué es CVE-2025-10656?
- Es una vulnerabilidad crítica de falta de autorización en el plugin Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light, que permite crear cuentas admin sin autenticación.
- ¿A qué versiones afecta?
- Afecta a todas las versiones hasta la 2.4.37 inclusive.
- ¿Cómo puedo protegerme si no hay parche?
- Desactiva o elimina el plugin de tu sitio WordPress hasta que el fabricante publique una actualización.
- ¿Cómo saber si mi sitio ha sido comprometido?
- Revisa la lista de usuarios administradores en busca de cuentas desconocidas y verifica los logs de acceso.
- ¿Qué es CVSS 9.8?
- Es una puntuación de severidad máxima en el sistema CVSS, indicando un riesgo extremadamente alto.
- ¿Dónde puedo obtener más información?
- Consulta las fuentes oficiales listadas a continuación, incluyendo NVD y Wordfence.