PT-2025-27851 · WordPress · Gozen Forms

CVE-2025-6782 · Publicado 2025-07-04 · Atualizado 2025-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Plugin GoZen Forms para WordPress em versões anteriores à 1.1.5

Descrição: A falha permite Injeção de SQL devido ao escape insuficiente no parâmetro forms-id da função dirGZActiveForm() e à falta de preparação adequada na consulta SQL existente. Isso possibilita que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações: Para versões anteriores à 1.1.5, atualize para a versão 1.1.5 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso à função dirGZActiveForm() até que uma correção esteja disponível. Evite utilizar o parâmetro forms-id na função afetada até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-6782

Produtos afetados

Gozen Forms

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/d874a041-1cd4-4ca1-85bd-4050630d8502?source=cve · Nota
• https://wordpress.org/plugins/gozen-forms · Nota
• https://osv.dev/vulnerability/CVE-2025-6782 · Aviso do Fabricante
• https://t.me/cvenotify/127690 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-6782 · Nota de Segurança
• https://twitter.com/cracbot/status/1942901591121740052 · Publicação no Twitter
• https://twitter.com/jmdevlabs/status/1946754288706818462 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1941001027110543765 · Publicação no Twitter