PT-2025-12479 · WordPress · Export/Import Users/Customers

Hay Mizrachi · Publicado 2025-03-22 · Atualizado 2025-07-09 · CVE-2025-1972

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Export and Import Users and Customers para WordPress em versões anteriores à 2.6.3

Descrição A vulnerabilidade está relacionada à validação insuficiente de caminho de arquivo na função admin log page(), permitindo que atacantes autenticados com acesso de nível de Administrador ou superior excluam arquivos de log arbitrários no servidor.

Recomendações Para versões até a 2.6.2 inclusive, atualize para uma versão superior à 2.6.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à função admin log page() até que uma correção esteja disponível.

Correção

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

CVE-2025-1972

Produtos afetados

Export/Import Users/Customers

Referências · 13

• https://twitter.com/HayMizrachi/status/1906315572045816137 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1903410488480067746 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-1972 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset/3259688 · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/2d443c70-6537-4c6d-a282-12d392f0f558?source=cve · Nota
• https://t.me/cvenotify/115782 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1903431622206382379 · Publicação no Twitter
• https://t.me/cvetracker/19670 · Publicação no Telegram
• https://wordpress.org/plugins/users-customers-import-export-for-wp-woocommerce/#developers · Nota
• https://plugins.trac.wordpress.org/browser/users-customers-import-export-for-wp-woocommerce/trunk/admin/modules/history/history.php#L248 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-1972 · Nota de Segurança
• https://t.me/cvedetector/20869 · Publicação no Telegram
• https://t.me/cvenotify/128228 · Publicação no Telegram