PT-2025-19870 · WordPress · Pgs Core

István Márton · Publicado 2025-05-06 · Atualizado 2025-05-07 · CVE-2025-0853

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin PGS Core para WordPress nas versões até 5.8.0 (inclusive)

Descrição A vulnerabilidade está relacionada a uma Injeção de SQL via parâmetro event na função save header builder, devido ao escape insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.

Recomendações Para as versões até 5.8.0 (inclusive), considere desabilitar a função save header builder até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso ao parâmetro event na função afetada para minimizar o risco de ataques de Injeção de SQL.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-0853

Produtos afetados

Pgs Core

Referências · 9

• https://t.me/cvenotify/121116 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1920222517244965203 · Publicação no Twitter
• https://t.me/cvetracker/23216 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1919870857851400197 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1920006621037465778 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/ca41c951-318f-47a7-9a30-c1d4eea1b1b5?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-0853 · Nota de Segurança
• https://docs.potenzaglobalsolutions.com/docs/ciyashop-wp/changelog · Nota
• https://t.me/cvedetector/24661 · Publicação no Telegram