PT-2025-31165 · WordPress · Brizy – Page Builder

Michael Mazzolini · CVE-2025-4370 · Publicado 2025-07-29 · Atualizado 2025-08-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Brizy – Plugin Page Builder para WordPress, versões até e incluindo a 2.6.20

Descrição O plugin Brizy – Page Builder para WordPress está suscetível a uploads de arquivos limitados devido à ausência de autorização na função process external asset urls() e à ausência de validação de caminho na função store file(). Isso permite que atacantes não autenticados façam upload de arquivos .TXT para o servidor do site afetado.

Recomendações Atualize o plugin Brizy – Page Builder para uma versão posterior à 2.6.20. Como solução temporária, restrinja o acesso à função process external asset urls(). Como solução temporária, restrinja o acesso à função store file().

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-4370

Produtos afetados

Brizy – Page Builder

Referências · 9

• https://nvd.nist.gov/vuln/detail/CVE-2025-4370 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/db18f6b4-600d-4c63-a9f2-4e3b8ab4fba3?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2025-4370 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/brizy/tags/2.6.17/editor/asset/static-file-trait.php#L44 · Nota
• https://t.me/CVEtracker/28636 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/brizy/tags/2.6.17/editor/asset/media-processor.php#L27 · Nota
• https://t.me/cveNotify/130097 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1950051909336707433 · Publicação no Twitter
• https://twitter.com/jmdevlabs/status/1955989293911929343 · Publicação no Twitter