PT-2025-23371 · WordPress · Wp-Geometa

Kenneth Dunn · CVE-2025-4103 · Publicado 2025-05-31 · Atualizado 2025-06-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin WP-GeoMeta para WordPress versões 0.3.4 a 0.3.5

Descrição O problema está relacionado a uma falta de verificação de capacidade na função wp ajax wpgm start geojson import(), permitindo que invasores autenticados com acesso de nível de Assinante ou superior elevem seus privilégios aos de um administrador.

Recomendações Para o plugin WP-GeoMeta para WordPress versões 0.3.4 a 0.3.5, considere desativar a função wp ajax wpgm start geojson import() até que um patch esteja disponível para prevenir escalonamento de privilégios.

Correção

LPE

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2025-4103

Produtos afetados

Wp-Geometa

Referências · 10

• https://wordpress.org/plugins/wp-geometa/#developers · Nota
• https://t.me/latest_high_impact_cve/2503 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/2504 · Publicação no Telegram
• https://t.me/cvenotify/124227 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-4103 · Nota de Segurança
• https://twitter.com/CVEnew/status/1928707141973717322 · Publicação no Twitter
• https://twitter.com/cracbot/status/1930580405759160723 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/43039f2a-b3f9-4836-8b55-e8a091b1a102?source=cve · Nota
• https://t.me/cvetracker/25066 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-geometa/tags/0.3.4/lib/wp-geometa-dash.php#L896 · Nota