PT-2025-12884 · WordPress · Product Import Export For Woocommerce

Hay Mizrachi · Publicado 2025-03-26 · Atualizado 2025-12-05 · CVE-2025-1913

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Product Import Export for WooCommerce – Import Export Product CSV Suite para WordPress, versões até a 2.5.0, inclusive

Descrição A falha permite que atacantes autenticados com acesso de nível de Administrador ou superior injetem um Objeto PHP via desserialização de entrada não confiável proveniente do parâmetro form data. Esta vulnerabilidade não tem impacto a menos que outro plugin ou tema contendo uma cadeia POP esteja instalado no site. Se uma cadeia POP estiver presente, ela pode permitir que o atacante realize ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, dependendo da cadeia POP presente.

Recomendações Para versões até a 2.5.0, inclusive, considere desativar a desserialização de entrada não confiável do parâmetro form data como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso à funcionalidade do plugin para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-1913

Produtos afetados

Product Import Export For Woocommerce

Referências · 16

• 🔥 https://github.com/S0haib518-KSA/CVE-2025-1913-PoC · Exploit
• https://twitter.com/HayMizrachi/status/1906315314603729307 · Publicação no Twitter
• https://t.me/cvenotify/116302 · Publicação no Telegram
• https://t.me/cveNotify/144913 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-1913 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/product-import-export-for-woo/trunk/admin/modules/import/classes/class-import-ajax.php · Nota
• https://t.me/cvenotify/128219 · Publicação no Telegram
• https://t.me/cvetracker/19960 · Publicação no Telegram
• https://t.me/cvedetector/21166 · Publicação no Telegram
• https://twitter.com/vulns_space/status/1904881452530933930 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1913 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3261194 · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/d4464bb1-273a-42c4-a7ec-8e123d286963?source=cve · Nota
• https://twitter.com/CVEnew/status/1904872781776314843 · Publicação no Twitter
• https://wordpress.org/plugins/product-import-export-for-woo/#developers · Nota