PT-2025-37173 · WordPress · Time Tracker

Jonas Benjamin Friedli · Publicado 2025-09-11 · Atualizado 2025-09-16 · CVE-2025-9018

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plugin Time Tracker para WordPress versões até a 3.1.0

Descrição: O plugin Time Tracker para WordPress está suscetível a modificações não autorizadas e perda de dados. A ausência de uma verificação de capacidades nas funções tt update table function e tt delete record function permite que atacantes autenticados com acesso de nível de Assinante ou superior atualizem opções, incluindo o registro de usuários e as configurações de função padrão. Isso poderia permitir que usuários não autorizados se registrem como Administradores e excluam dados limitados do banco de dados.

Recomendações: Atualize o plugin Time Tracker para uma versão superior à 3.1.0.

Correção

LPE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-9018

Produtos afetados

Time Tracker

Referências · 7

• https://twitter.com/cracbot/status/1967906372785205650 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/time-tracker/trunk/inc/function-tt-delete-record.php#L22 · Nota
• https://plugins.trac.wordpress.org/browser/time-tracker/trunk/inc/function-tt-update-table.php#L25 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-9018 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/2e840f76-1b46-452e-bd63-507cbab779b9?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1966175727100805155 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3359157 · Nota