PT-2025-10049 · Unknown · Uipress Lite

Dale Mavers + 1 · Publicado 2025-03-07 · Atualizado 2025-03-08 · CVE-2025-1309

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do UiPress lite até a 3.5.04 (inclusive)

Descrição A falha permite a modificação não autorizada de dados, potencialmente resultando em escalonamento de privilégios, devido à ausência de uma verificação de capacidade na função uip save form as option(). Isso possibilita que atacantes autenticados com acesso de nível Subscriber ou superior atualizem opções arbitrárias no site WordPress, o que pode ser utilizado para obter acesso de administrador.

Recomendações Para versões até a 3.5.04 (inclusive), considere desativar a função uip save form as option() até que uma correção esteja disponível para prevenir a modificação não autorizada de dados. Restrinja o acesso a opções e configurações sensíveis para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-1309

Produtos afetados

Uipress Lite

Referências · 8

• https://plugins.trac.wordpress.org/changeset/3249865 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/6754ba34-0dc7-40a5-9548-a5f77db0df53?source=cve · Nota
• https://t.me/cvedetector/19791 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/uipress-lite/tags/3.5.00/admin/core/ajax-functions.php#L625 · Nota
• https://twitter.com/CVEnew/status/1898246407229755671 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1309 · Nota de Segurança
• https://twitter.com/cybercronai/status/1898056881966293051 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1897912889240859091 · Publicação no Twitter