PT-2025-19835 · WordPress · Ahathat Plugin

Régis Senet · Publicado 2025-05-06 · Atualizado 2025-05-06 · CVE-2025-4337

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin AHAthat para WordPress, versões até e incluindo a 1.6

Descrição O problema está relacionado à Falsificação de Solicitação Entre Sites (CSRF), causado por validação de nonce ausente ou incorreta na função aha plugin page(). Isso permite que atacantes não autenticados excluam páginas AHA ao induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 1.6, considere desabilitar a função aha plugin page() até que um patch esteja disponível para prevenir a exploração. Como solução temporária, restrinja o acesso às páginas AHA para minimizar o risco de exclusão via solicitações forjadas.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-4337

Produtos afetados

Ahathat Plugin

Referências · 8

• https://t.me/cvenotify/120929 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1919727591755260204 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/af15ae80-dbce-4899-9604-82fdca222bf5?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/ahathat/trunk/includes/class-aha-admin-menu.php#L42 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-4337 · Nota de Segurança
• https://twitter.com/CVEnew/status/1919614446520963075 · Publicação no Twitter
• https://t.me/cvedetector/24542 · Publicação no Telegram
• https://t.me/cvetracker/23130 · Publicação no Telegram