PT-2025-42227 · WordPress · Xstore

CVE-2025-11746 · Publicado 2025-10-15 · Atualizado 2025-10-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do XStore anteriores à 9.5.5

Descrição O tema XStore para WordPress está suscetível a Inclusão Local de Arquivos (Local File Inclusion). Atacantes com acesso de nível de Assinante (Subscriber) ou superior podem incluir e executar arquivos .php arbitrários no servidor através da função et ajax required plugins popup(). Isso pode levar ao contorno de controles de acesso, obtenção de dados sensíveis ou execução de código, caso o upload de arquivos .php esteja permitido.

Recomendações Atualize o XStore para a versão 9.5.5 ou superior. Como medida temporária, considere restringir o acesso para usuários com nível de acesso de Assinante (Subscriber) ou inferior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-11746

Produtos afetados

Xstore

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2025-11746 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/2a49db7f-62fc-472d-9edf-de5edbe48219?source=cve · Nota
• https://twitter.com/CVEnew/status/1978562100898193447 · Publicação no Twitter
• https://xstore.8theme.com/update-history · Nota
• https://twitter.com/VulmonFeeds/status/1978320309510914143 · Publicação no Twitter
• https://t.me/CVEtracker/34935 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1978297185868325228 · Publicação no Twitter