PT-2025-24031 · WordPress · Wp Online Users Stats

Rajan Kshedal · Publicado 2025-06-06 · Atualizado 2025-06-06 · CVE-2025-4964

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin WP Online Users Stats para WordPress, versões até e incluindo a 1.0.0

Descrição A vulnerabilidade permite que atacantes autenticados com acesso de nível Editor ou superior injetem consultas SQL adicionais nas existentes, potencialmente extraindo informações sensíveis do banco de dados. Isso se deve ao escape insuficiente do parâmetro table name fornecido pelo usuário e à falta de preparação adequada da consulta SQL existente.

Recomendações Para o plugin WP Online Users Stats para WordPress, versões até e incluindo a 1.0.0, considere desativar o parâmetro table name até que uma correção esteja disponível para prevenir potenciais ataques de injeção SQL. Restrinja o acesso à funcionalidade do plugin para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-4964

Produtos afetados

Wp Online Users Stats

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/a7ef66cf-ddf1-42be-82b1-cb6edcbf253c?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/wp-online-users-stats/trunk/admin/class-wp-online-users-stats-admin.php#L118 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-4964 · Nota de Segurança
• https://t.me/cvetracker/25572 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-4964 · Aviso do Fabricante
• https://wordpress.org/plugins/wp-online-users-stats/#developers · Nota
• https://twitter.com/CVEnew/status/1930880583342919930 · Publicação no Twitter