PT-2025-34039 · WordPress · Sendwp+1

Wesley · Publicado 2025-08-20 · Atualizado 2025-08-20 · CVE-2025-8102

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Versões do Easy Digital Downloads anteriores à 3.5.1

Descrição: O plugin Easy Digital Downloads para WordPress está suscetível a Falsificação de Solicitação Entre Sites (CSRF) devido à falta de validações de nonce nas funções edd sendwp disconnect() e edd sendwp remote install(). Isso permite que atacantes não autenticados desativem ou baixem e ativem o plugin SendWP por meio de uma solicitação forjada, induzindo um administrador do site a realizar uma ação, como clicar em um link.

Recomendações: Atualize o Easy Digital Downloads para a versão 3.5.1 ou posterior. Como medida temporária, considere desativar o plugin SendWP até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-8102

Produtos afetados

Easy Digital Downloads

Sendwp

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/636c9d92-ee62-499d-8d73-33cd63bb5af8?source=cve · Nota
• https://twitter.com/CVEnew/status/1958180758344122831 · Publicação no Twitter
• https://wordpress.org/plugins/easy-digital-downloads/#developers · Nota
• https://twitter.com/VulmonFeeds/status/1958253464418472278 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3346633/easy-digital-downloads/trunk/includes/deprecated-functions.php?old=3328623&old_path=easy-digital-downloads%2Ftrunk%2Fincludes%2Fdeprecated-functions.php · Nota
• https://plugins.trac.wordpress.org/browser/easy-digital-downloads/tags/3.5.0/includes/deprecated-functions.php#L1678 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-8102 · Nota de Segurança