PT-2025-24606 · Woocommerce · Abandoned Cart Pro For Woocommerce

Phil Wylie · Publicado 2025-06-10 · Atualizado 2025-06-10 · CVE-2025-4387

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Abandoned Cart Pro for WooCommerce versões até e incluindo a 9.16.0

Descrição O problema está relacionado a um upload arbitrário de arquivos autenticado devido à falta de validação de tipo de arquivo na função wcap add to cart popup upload files. Isso permite que um atacante autenticado com acesso de nível de assinante ou superior faça upload de arquivos arbitrários para o servidor do site, potencialmente permitindo a execução remota ou local de código, dependendo da configuração do servidor.

Recomendações Para versões até e incluindo a 9.16.0, atualize para uma versão que inclua a correção para a vulnerabilidade de upload arbitrário de arquivos. Como solução temporária, considere desativar a função wcap add to cart popup upload files até que um patch esteja disponível.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-4387

Produtos afetados

Abandoned Cart Pro For Woocommerce

Referências · 8

• https://t.me/latest_high_impact_cve/2599 · Publicação no Telegram
• https://twitter.com/mustardbees/status/1932374319000060363 · Publicação no Twitter
• https://t.me/cvenotify/125199 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/5d2f07bb-89b3-41d4-b606-9722deecf816?source=cve · Nota
• https://tychesoftwares.com/docs/docs/abandoned-cart-pro-for-woocommerce-new/changelog-abandoned-cart-pro/#changelog-abandon-cart-pro-for-woocommerce-9-17-0-release-date-m · Nota
• https://tychesoftwares.com/products/woocommerce-abandoned-cart-pro-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-4387 · Nota de Segurança
• https://t.me/cvetracker/25863 · Publicação no Telegram