PT-2025-21133 · WordPress · Uncanny Automator

Gai Tanaka + 1 · Publicado 2025-05-14 · Atualizado 2025-08-12 · CVE-2025-3623

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do Uncanny Automator até a 6.4.0.1 (inclusive)

Descrição: O plugin Uncanny Automator para WordPress é vulnerável à Injeção de Objeto PHP via desserialização de entrada não confiável na função automator api decode message(). Isso permite que atacantes autenticados, com acesso de nível de Assinante (Subscriber) ou superior, injetem um Objeto PHP. A presença de uma cadeia POP também permite que atacantes excluam arquivos arbitrários.

Recomendações: Para versões até a 6.4.0.1 (inclusive), atualize para uma versão superior à 6.4.0.1 para resolver o problema. Como solução temporária, considere desativar a função automator api decode message() até que um patch esteja disponível. Restrinja o acesso à função automator api decode message() para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-3623

Produtos afetados

Uncanny Automator

Referências · 15

• https://plugins.trac.wordpress.org/changeset/3276577/uncanny-automator/trunk/src/core/lib/helpers/class-automator-recipe-helpers.php · Correção
• https://osv.dev/vulnerability/CVE-2025-3623 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1922600380413747245 · Publicação no Twitter
• https://t.me/cvetracker/23801 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/uncanny-automator/trunk/src/core/lib/helpers/class-automator-recipe-helpers.php#L540 · Nota
• https://t.me/cveNotify/131761 · Publicação no Telegram
• https://twitter.com/cracbot/status/1924419836332929394 · Publicação no Twitter
• https://t.me/cvenotify/125627 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/00bcfd8f-9785-449a-a0ea-16e2583d684a?source=cve · Nota
• https://wordpress.org/plugins/uncanny-automator/#developers · Nota
• https://automatorplugin.com/knowledge-base/uncanny-automator-changelog/#6-4-0-2-2025-04-18 · Nota
• https://twitter.com/CVEnew/status/1922502399937159528 · Publicação no Twitter
• https://t.me/cvenotify/122090 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-3623 · Nota de Segurança
• https://t.me/latest_high_impact_cve/2360 · Publicação no Telegram