PT-2025-20485 · WordPress · 1 Click Wordpress Migration Plugin

Kate Kligman · Publicado 2025-05-09 · Atualizado 2025-05-09 · CVE-2025-3455

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin 1 Click WordPress Migration, versões anteriores à 2.3

Descrição O problema está relacionado à ausência de uma verificação de permissão na função start restore, permitindo que atacantes autenticados com acesso de nível Subscriber ou superior façam upload de arquivos arbitrários no servidor do site afetado. Isso poderia potencialmente levar à execução remota de código.

Recomendações Para versões até a 2.2 inclusive, atualize para a versão 2.3 ou posterior para resolver o problema. Como solução temporária, considere desativar a função start restore até que um patch esteja disponível. Restrinja o acesso à funcionalidade de upload de arquivos para minimizar o risco de exploração.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-3455

Produtos afetados

1 Click Wordpress Migration Plugin

Referências · 8

• https://plugins.trac.wordpress.org/changeset/3372639/1-click-migration/trunk/inc/backup/class-ocm-backup.php · Nota
• https://t.me/cvedetector/24924 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/1-click-migration/trunk/inc/backup/class-ocm-backup.php#L403 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-3455 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/e982ae88-cfd0-46b9-ad64-00e398d307d6?source=cve · Nota
• https://t.me/cvetracker/23466 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1920866500279197953 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1920739444677591379 · Publicação no Twitter