PT-2025-15921 · WordPress · Order Post

Avraham Shemesh · Publicado 2025-04-10 · Atualizado 2025-04-10 · CVE-2025-2805

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Plugin ORDER POST para WordPress versões até a 2.0.2 inclusive

Descrição: O plugin ORDER POST para WordPress está vulnerável à execução arbitrária de shortcodes devido ao software permitir que os usuários executem uma ação que não valida adequadamente um valor antes de executar do shortcode. Isso possibilita que atacantes não autenticados executem shortcodes arbitrários, potencialmente levando à execução remota de código.

Recomendações: Para versões até a 2.0.2 inclusive, considere desativar a função do shortcode ou restringir o acesso a ela até que uma correção esteja disponível. Como solução temporária, evite usar entradas não validadas no plugin afetado para minimizar o risco de exploração.

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-2805

Produtos afetados

Order Post

Referências · 10

• https://twitter.com/CVEnew/status/1910296107990831601 · Publicação no Twitter
• https://plugins.svn.wordpress.org/order-post/trunk/wp_post_order.php · Nota
• https://twitter.com/VulmonFeeds/status/1910254937671454960 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/d35ea739-5ee9-4779-87d5-3f13b11229cf?source=cve · Nota
• https://t.me/cvenotify/118568 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-2805 · Nota de Segurança
• https://t.me/latest_high_impact_cve/2124 · Publicação no Telegram
• https://twitter.com/vulns_space/status/1910233773821612535 · Publicação no Twitter
• https://twitter.com/modat_magnify/status/1910310158753735003 · Publicação no Twitter
• https://wordpress.org/plugins/order-post/#developers · Nota