PT-2025-23594 · WordPress · Woocommerce Ultimate Gift Card

Abdulaziz Alzamil · Publicado 2025-06-03 · Atualizado 2025-06-03 · CVE-2025-5103

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Ultimate Gift Cards for WooCommerce para WordPress versões anteriores à 3.1.5

Descrição O problema está relacionado a uma Injeção de SQL baseada em booleanos através dos parâmetros default price e product id. Isso se deve ao escape insuficiente dos parâmetros fornecidos pelo usuário e à falta de preparação nas consultas SQL existentes. Atacantes autenticados com acesso de nível de Administrador ou superior podem anexar consultas SQL adicionais às existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Para versões anteriores à 3.1.5, atualize para a versão 3.1.5 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso aos parâmetros default price e product id para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-5103

Produtos afetados

Woocommerce Ultimate Gift Card

Referências · 9

• https://plugins.trac.wordpress.org/changeset/3303359 · Correção
• https://t.me/cvetracker/25257 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/woo-gift-cards-lite/tags/3.1.4/admin/class-woocommerce-gift-cards-lite-admin.php#L571 · Nota
• https://osv.dev/vulnerability/CVE-2025-5103 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-5103 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/e9e89383-a9c6-4300-970c-0b36e4d97e3d?source=cve · Nota
• https://wordpress.org/plugins/woo-gift-cards-lite/#developers · Nota
• https://twitter.com/CVEnew/status/1929822833183474131 · Publicação no Twitter
• https://t.me/cvenotify/124438 · Publicação no Telegram