PT-2025-37016 · WordPress · Wpgym+1

Michelle Porter · Publicado 2025-09-10 · Atualizado 2025-09-15 · CVE-2025-7049

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: WPGYM - Plugin Wordpress Gym Management System para WordPress versões anteriores à 67.7.1

Descrição: O plugin está suscetível a escalonamento de privilégio devido à falta de validação em uma chave controlada pelo usuário dentro da função MJ gmgt gmgt add user. Atacantes autenticados com acesso de nível de Assinante ou superior podem modificar o e-mail, a senha e outros detalhes de qualquer usuário, incluindo administradores.

Recomendações: Atualize para a versão 67.7.1 ou posterior. Como solução temporária, restrinja o acesso à função MJ gmgt gmgt add user até que um patch esteja disponível.

Correção

LPE

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-7049

Produtos afetados

Wpgym

Wpgym - Wordpress Gym Management System

Referências · 6

• https://codecanyon.net/item/-wpgym-wordpress-gym-management-system/13352964 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-7049 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1965714890082881764 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/17951f68-8481-477b-a940-cce637f6ec54?source=cve · Nota
• https://twitter.com/cracbot/status/1967543964975894749 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1965691862330867914 · Publicação no Twitter