PT-2025-28976 · WordPress · Lana Downloads Manager

István Márton · Publicado 2025-07-10 · Atualizado 2025-07-10 · CVE-2025-7387

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Lana Downloads Manager anteriores à 1.10.0

Descrição: O plugin Lana Downloads Manager para WordPress está suscetível a Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário dentro dos parâmetros de endpoint. Isso permite que atacantes autenticados com permissões de nível de administrador ou superior injetem scripts web arbitrários em páginas, que serão executados quando um usuário acessar a página injetada.

Recomendações: Atualize o Lana Downloads Manager para uma versão posterior à 1.10.0.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-7387

Produtos afetados

Lana Downloads Manager

Referências · 7

• https://plugins.trac.wordpress.org/browser/lana-downloads-manager/tags/1.10.0/lana-downloads-manager.php#L763 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/be0db9ff-dc95-4c92-8dc4-472c5df9c0dd?source=cve · Nota
• https://twitter.com/CVEnew/status/1943297328292729053 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-7387 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3324923/lana-downloads-manager · Nota
• https://t.me/cvenotify/128310 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1943213154386780419 · Publicação no Twitter