PT-2025-11314 · WordPress · Ulisting

Publicado 2025-03-15 · Atualizado 2025-03-28 · CVE-2025-1653

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin uListing para WordPress, versões até e incluindo a 2.1.7

Descrição O plugin uListing para WordPress está vulnerável a Elevação de Privilégio devido à ação AJAX stm listing profile edit não possuir restrições suficientes sobre os metadados do usuário que podem ser atualizados. Isso possibilita que atacantes autenticados, com acesso de nível de Assinante ou superior, elevem seus privilégios para os de um administrador.

Recomendações Para versões até e incluindo a 2.1.7, considere desativar a ação AJAX stm listing profile edit até que uma correção esteja disponível para prevenir a elevação de privilégio. Restrinja o acesso às atualizações de metadados do usuário para minimizar o risco de exploração.

Correção

LPE

Incorrect Privilege Assignment

Enumeração de Fraquezas

CWE-266

Identificadores relacionados

CVE-2025-1653

Produtos afetados

Ulisting

Referências · 15

• https://t.me/cvenotify/114893 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/4181b26e-89c7-4020-a3d4-29bdc88d7438?source=cve · Nota
• https://t.me/latest_high_impact_cve/1966 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1900745440037138927 · Publicação no Twitter
• https://t.me/cvedetector/20347 · Publicação no Telegram
• https://wordpress.org/plugins/ulisting · Nota
• https://twitter.com/dailycve/status/1905629345709720000 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1653 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1900744162846343396 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1901031039415292218 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-1653 · Aviso do Fabricante
• https://t.me/cvenotify/116741 · Publicação no Telegram
• https://t.me/cvetracker/19163 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1900815947700605436 · Publicação no Twitter
• https://twitter.com/cracbot/status/1902676551357108545 · Publicação no Twitter