PT-2025-21775 · WordPress · Wpbot Pro
CVE-2025-3812
·
Publicado
2025-05-17
·
Atualizado
2025-05-22
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas:
Versões do plugin WPBot Pro Wordpress Chatbot até a 13.6.2, inclusive
Descrição:
O plugin WPBot Pro Wordpress Chatbot para WordPress é vulnerável à exclusão arbitrária de arquivos devido à validação insuficiente do caminho do arquivo na função
qcld openai delete training file(). Isso possibilita que atacantes autenticados, com acesso de nível de Assinante ou superior, excluam arquivos arbitrários no servidor, o que pode levar facilmente à execução remota de código quando o arquivo correto é excluído, como o wp-config.php.Recomendações:
Para as versões do plugin WPBot Pro Wordpress Chatbot até a 13.6.2, inclusive, atualize para uma versão que corrija o problema na função
qcld openai delete training file() para prevenir a exclusão arbitrária de arquivos.
Como medida temporária, considere desativar a função qcld openai delete training file() até que uma correção esteja disponível para prevenir a exploração.
Restrinja o acesso à funcionalidade de exclusão de arquivos do plugin para minimizar o risco de exploração.Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wpbot Pro