PT-2025-27852 · WordPress · Gozen Forms

CVE-2025-6783 · Publicado 2025-07-04 · Atualizado 2025-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Plugin GoZen Forms para WordPress versões até a 1.1.5 inclusive

Descrição: A falha permite que atacantes não autenticados realizem Injeção de SQL através do parâmetro forms-id da função emdedSc() devido ao escapamento insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso possibilita extrair informações sensíveis do banco de dados anexando consultas SQL adicionais às consultas já existentes.

Recomendações: Para o plugin GoZen Forms para WordPress versões até a 1.1.5 inclusive, considere desativar a função emdedSc() até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso a informações sensíveis do banco de dados para minimizar o risco de extração de dados. Evite utilizar o parâmetro forms-id em funções afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-6783

Produtos afetados

Gozen Forms

Referências · 8

• https://t.me/cvenotify/127691 · Publicação no Telegram
• https://wordpress.org/plugins/gozen-forms · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-6783 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1940995907568168998 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-6783 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1942901592946291082 · Publicação no Twitter
• https://twitter.com/jmdevlabs/status/1946927769666945449 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/784998a7-550d-4299-9995-af01e5ee1d21?source=cve · Nota