PT-2025-39928 · WordPress · Qyrr

Alexander Chikaylo · Publicado 2025-09-30 · Atualizado 2025-09-30 · CVE-2025-10000

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Qyrr – plugin simples e moderno de criação de QR Code para WordPress, versões até a 2.0.7

Descrição O plugin Qyrr para WordPress é vulnerável a upload arbitrário de arquivos devido à falta de validação de tipo de arquivo dentro da função blob to file(). Atacantes com acesso de nível de Contribuidor ou superior podem fazer upload de qualquer tipo de arquivo para o servidor, potencialmente levando à execução remota de código.

Recomendações Atualize o plugin Qyrr para uma versão superior à 2.0.7.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-10000

Produtos afetados

Qyrr

Referências · 6

• https://t.me/CVEtracker/33705 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/3ff54694-64c4-4112-b126-aabd3e09144b?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/qyrr-code/trunk/inc/class-qyrr-rest.php#L94 · Nota
• https://plugins.trac.wordpress.org/changeset/3454683 · Nota
• https://twitter.com/CVEnew/status/1972878687130304724 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-10000 · Nota de Segurança