PT-2025-42230 · WordPress · Quick Featured Images

Lucas Montes · Publicado 2025-10-15 · Atualizado 2025-10-15 · CVE-2025-11176

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Quick Featured Images para WordPress em versões anteriores à 13.7.3

Descrição O plugin Quick Featured Images para WordPress está suscetível a uma vulnerabilidade de Referência Insegura Direta a Objetos nas versões até e incluindo a 13.7.2. Esta falha está presente nas ações AJAX qfi set thumbnail e qfi delete thumbnail devido à falta de validação em uma chave controlada pelo usuário. Atacantes autenticados com acesso de nível de Autor ou superior podem explorar isso para modificar ou remover imagens de destaque de posts pertencentes a outros usuários. A chave vulnerável permite acesso direto a objetos sem as devidas verificações de autorização.

Recomendações Atualize o plugin Quick Featured Images para a versão 13.7.3 ou posterior.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-11176

Produtos afetados

Quick Featured Images

Referências · 6

• https://t.me/cveNotify/138706 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/4f9a1cfc-5e52-40da-bb9d-8f2b46d37c8c?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/quick-featured-images/tags/13.7.2/admin/class-Quick_Featured_Images_Columns.php#L506 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3376996%40quick-featured-images%2Ftrunk&old=3271680%40quick-featured-images%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11176 · Nota de Segurança
• https://twitter.com/CVEnew/status/1978562098645942436 · Publicação no Twitter