PT-2025-23558 · WordPress · Wordpress Comments Import & Export

Jörg Steinsträter · Publicado 2025-06-02 · Atualizado 2025-06-03 · CVE-2025-3919

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WordPress Comments Import & Export até a 2.4.3

Descrição O problema surge devido à falta de uma verificação de capacidade na função save settings e à falha em sanitizar e escapar adequadamente os parâmetros das configurações de FTP. Isso permite que atacantes autenticados com acesso de nível Subscriber ou superior injetem scripts web arbitrários na página de configurações do plugin, os quais serão executados quando um usuário administrativo acessar a página onde o script foi injetado.

Recomendações Para versões até a 2.4.3, atualize para a versão 2.4.4 para resolver totalmente o problema. Como solução alternativa temporária para versões até a 2.4.3, considere restringir o acesso à página de configurações do plugin para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-3919

Produtos afetados

Wordpress Comments Import & Export

Referências · 8

• https://plugins.trac.wordpress.org/changeset/3301183 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-3919 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/f8bc8863-04a9-4631-9510-624f98ea1e75?source=cve · Nota
• https://t.me/cvetracker/25220 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/comments-import-export-woocommerce/trunk/includes/settings/class-hf_cmt_impexpcsv-settings.php?rev=3278076 · Nota
• https://t.me/cvenotify/124405 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1929672935511675001 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3288894 · Nota