PT-2025-21261 · Unknown · Uipress Lite
Cynau1T
+1
·
Publicado
2025-05-15
·
Atualizado
2025-05-17
·
CVE-2025-3053
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas:
UiPress lite | Plugin de dashboards personalizados sem esforço, temas de administração e páginas para WordPress, versões até e incluindo a 3.5.07
Descrição:
O problema está relacionado à Execução Remota de Código no plugin UiPress lite para WordPress. Isso se deve ao fato de a função
uip process form input() aceitar entradas fornecidas pelo usuário para executar funções arbitrárias com dados arbitrários, sem realizar qualquer tipo de verificação de capacidades. Isso possibilita que atacantes autenticados, com acesso de nível de Assinante ou superior, executem código arbitrário no servidor.Recomendações:
Para versões até e incluindo a 3.5.07, atualize para uma versão superior à 3.5.07 para resolver o problema.
Como medida temporária de contorno, considere desabilitar a função
uip process form input() até que uma correção esteja disponível.
Restrinja o acesso ao plugin para minimizar o risco de exploração.Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Uipress Lite