PT-2025-39155 · WordPress · Podlove Podcast Publisher

Arkadiusz Hydzik · Publicado 2025-09-23 · Atualizado 2025-09-24 · CVE-2025-10147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Podlove Podcast Publisher até e incluindo a 4.2.6

Descrição O plugin Podlove Podcast Publisher para WordPress é vulnerável a upload de arquivos arbitrários devido à falta de validação de tipo de arquivo na função move as original file. Isso permite que atacantes não autenticados façam upload de arquivos arbitrários no servidor afetado, podendo resultar em execução remota de código.

Recomendações Atualize o Podlove Podcast Publisher para uma versão superior à 4.2.6.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-10147

Produtos afetados

Podlove Podcast Publisher

Referências · 11

• https://wordfence.com/threat-intel/vulnerabilities/id/093058f1-c717-424f-9bd5-4838df8d20a1?source=cve · Nota
• https://twitter.com/CveFindCom/status/1970407617257259234 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1970621824942907777 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1970480450385707286 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3364994 · Nota
• https://twitter.com/NightfallCVE/status/1970841551837274567 · Publicação no Twitter
• https://t.me/cveNotify/136120 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/podlove-podcasting-plugin-for-wordpress/tags/4.2.6/lib/model/image.php#L465 · Nota
• https://twitter.com/ZeroPathLabs/status/1970423353258193025 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-10147 · Nota de Segurança
• https://t.me/CVEtracker/33152 · Publicação no Telegram