PT-2025-12472 · WordPress · Code Clone

Publicado 2025-03-22 · Atualizado 2025-03-22 · CVE-2025-2478

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Code Clone para WordPress versões até, e incluindo, 0.9

Descrição O problema está relacionado a uma Injeção de SQL baseada em tempo via o parâmetro snippetId, devido ao escape insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes autenticados, com acesso de nível de Administrador ou superior, anexem consultas SQL adicionais às consultas já existentes, que podem ser usadas para extrair informações sensíveis do banco de dados.

Recomendações Para versões até, e incluindo, 0.9, considere desativar o parâmetro snippetId até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso ao plugin Code Clone para minimizar o risco de exploração, especialmente para usuários com acesso de nível de Administrador ou superior. Evite usar o parâmetro snippetId no plugin afetado até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-2478

Produtos afetados

Code Clone

Referências · 7

• https://wordpress.org/plugins/code-clone/#developers · Nota
• https://t.me/cvetracker/19662 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/9b6f21ce-8601-425f-bd44-6a1af31c67de?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-2478 · Nota de Segurança
• https://t.me/cvedetector/20862 · Publicação no Telegram
• https://t.me/cvenotify/115772 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/code-clone/trunk/admin/snippet-edit.php · Nota