PT-2025-27070 · WordPress · Dwt - Directory & Listing Wordpress Theme

Lucio Sá · Publicado 2025-06-27 · Atualizado 2025-07-02 · CVE-2024-12827

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Tema WordPress DWT - Directory & Listing, versões até e incluindo a 3.3.6

Descrição: A falha permite escalonamento de privilégios via apropriação de conta devido à validação inadequada de um valor de token vazio antes de redefinir a senha de um usuário através da função dwt listing reset password(). Isso possibilita que atacantes não autenticados alterem as senhas de quaisquer usuários, incluindo administradores, e obtenham acesso às suas contas.

Recomendações: Para as versões até e incluindo a 3.3.6, como solução alternativa temporária, considere desativar a função dwt listing reset password() até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

LPE

Enumeração de Fraquezas

CWE-620

Identificadores relacionados

CVE-2024-12827

Produtos afetados

Dwt - Directory & Listing Wordpress Theme

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/51fc7d47-2a0f-4713-9859-120321aa32dc?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12827 · Nota de Segurança
• https://t.me/cvenotify/126850 · Publicação no Telegram
• https://themeforest.net/item/dwt-listing-directory-listing-wordpress-theme/21976132 · Nota
• https://twitter.com/CVEnew/status/1938520070428234017 · Publicação no Twitter
• https://twitter.com/cracbot/status/1940364878495052254 · Publicação no Twitter
• https://t.me/cvetracker/27224 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1938543474829115747 · Publicação no Twitter