PT-2025-11677 · Unknown · Ahathat Plugin

Régis Senet · Publicado 2025-03-19 · Atualizado 2025-03-19 · CVE-2025-2511

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Plugin AHAthat até a 1.6 inclusive

Descrição O problema está relacionado a uma Injeção de SQL baseada em tempo via parâmetro id devido ao escapamento insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior anexem consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Para versões até a 1.6 inclusive, considere restringir o acesso ao parâmetro id no endpoint da API afetado até que um patch esteja disponível. Como solução temporária, limite o acesso de nível de Administrador para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-2511

Produtos afetados

Ahathat Plugin

Referências · 8

• https://wordpress.org/plugins/ahathat/#developers · Nota
• https://twitter.com/CVEnew/status/1902320928589279357 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1902348014108471582 · Publicação no Twitter
• https://t.me/cvedetector/20634 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/cde440a2-55f8-406a-b81b-919028f0e887?source=cve · Nota
• https://t.me/cvetracker/19436 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-2511 · Nota de Segurança
• https://t.me/cvenotify/115317 · Publicação no Telegram