PT-2025-12471 · WordPress · Cryokey

Johannes Skamletz + 1 · Publicado 2025-03-22 · Atualizado 2025-03-22 · CVE-2025-2477

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.7

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin CryoKey para WordPress, versões até e incluindo a 2.4

Descrição O problema está relacionado a Cross-Site Scripting Refletido via o parâmetro ckemail devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, os quais serão executados caso consigam enganar um usuário para realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 2.4, considere desativar o parâmetro ckemail até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso ao plugin CryoKey para minimizar o risco de ataques de Cross-Site Scripting Refletido. Evite usar o parâmetro ckemail em páginas afetadas até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-2477

Produtos afetados

Cryokey

Referências · 7

• https://t.me/cvenotify/115771 · Publicação no Telegram
• https://t.me/cvetracker/19661 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/1646f96c-f0f4-433a-ac5e-04c1c251972d?source=cve · Nota
• https://wordpress.org/plugins/cryokey/#developers · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-2477 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/cryokey/trunk/cryokey.php#L95 · Nota
• https://t.me/cvedetector/20861 · Publicação no Telegram