PT-2025-4104 · WordPress · Magicform

Lucio Sá · Publicado 2025-02-01 · Atualizado 2025-03-02 · CVE-2025-0939

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Plugin MagicForm para WordPress versões até e incluindo a 1.6.2

Descrição O problema surge devido à falta de verificação de permissões nas ações AJAX do plugin, permitindo que atacantes autenticados com acesso de nível de Assinante ou superior invoquem essas ações. Isso possibilita que eles excluam ou visualizem logs, modifiquem formulários ou alterem as configurações do plugin.

Recomendações Para o plugin MagicForm para WordPress versões até e incluindo a 1.6.2, atualize para uma versão superior à 1.6.2 para resolver o problema. Como solução temporária, considere restringir o acesso às ações AJAX do plugin para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-0939

Produtos afetados

Magicform

Referências · 9

• https://plugins.trac.wordpress.org/browser/magicform/trunk/admin/admin-menu.php · Correção
• https://twitter.com/CVEnew/status/1885581478773567554 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/aa3497ae-7f3a-4e67-ad7a-77b50dccaf3b?source=cve · Nota
• https://t.me/cvenotify/112031 · Publicação no Telegram
• https://twitter.com/taqtics_ai/status/1896000295857004616 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-0939 · Aviso do Fabricante
• https://t.me/cvedetector/17013 · Publicação no Telegram
• https://t.me/cvenotify/109590 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-0939 · Nota de Segurança