PT-2025-40464 · WordPress · Spirit Framework

Tonn · Publicado 2025-10-03 · Atualizado 2025-11-09 · CVE-2025-6388

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Spirit Framework para WordPress versões até a 1.2.14

Descrição O plugin Spirit Framework para WordPress está susceptível a um bypass de autenticação. Isso ocorre porque a função custom actions() não valida adequadamente a identidade do usuário antes de conceder acesso. Isso permite que atacantes não autenticados façam login como qualquer usuário, incluindo administradores, caso conheçam o nome de usuário. Relatos indicam que este problema está sendo ativamente explorado.

Recomendações Versões anteriores à 1.2.15 são afetadas. Atualize para a versão 1.2.15 ou posterior. Como medida temporária, desative o plugin Spirit Framework até que uma correção possa ser aplicada.

Correção

LPE

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

CVE-2025-6388

Produtos afetados

Spirit Framework

Referências · 15

• https://twitter.com/CveFindCom/status/1974031849530839064 · Publicação no Twitter
• https://themespirit.com/talemy-changelog · Nota
• https://twitter.com/CVEnew/status/1974032783090598110 · Publicação no Twitter
• https://twitter.com/cracbot/status/1975878887176335659 · Publicação no Twitter
• https://t.me/CVEtracker/34001 · Publicação no Telegram
• https://twitter.com/flamepycrack_/status/1974277487254462731 · Publicação no Twitter
• https://twitter.com/PurpleOps_io/status/1974369293635584083 · Publicação no Twitter
• https://twitter.com/Komodosec/status/1987551553356767488 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/a4cbc0e7-4328-451f-a595-1ce17e9d0031?source=cve · Nota
• https://twitter.com/offseq/status/1974037337362358397 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-6388 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1974065008108613648 · Publicação no Twitter
• https://twitter.com/SecAideInfo/status/1974779841229578742 · Publicação no Twitter
• https://t.me/pentestingnews/69048 · Publicação no Telegram
• https://twitter.com/0dayPublishing/status/1974031412715032999 · Publicação no Twitter