PT-2025-42279 · WordPress · Onoffice For Wp-Websites

Đức Tài · Publicado 2025-10-15 · Atualizado 2025-10-15 · CVE-2025-10045

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin onOffice for WP-Websites até a 5.7 (inclusive)

Descrição O plugin onOffice for WP-Websites para WordPress está suscetível a Injeção de SQL devido à sanitização de entrada e preparação de consulta inadequadas. Especificamente, o parâmetro order não é devidamente escapado, permitindo que atacantes autenticados com acesso de nível de Editor ou superior injetem consultas SQL adicionais. Isso pode levar à extração de informações sensíveis do banco de dados. O parâmetro vulnerável é order.

Recomendações Atualize o plugin onOffice for WP-Websites para uma versão superior à 5.7.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-10045

Produtos afetados

Onoffice For Wp-Websites

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2025-10045 · Nota de Segurança
• https://twitter.com/CVEnew/status/1978562040579928273 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3447130/onoffice-for-wp-websites/trunk/plugin/Record/RecordManagerReadListViewEstate.php · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/259010bd-ccb4-4907-bea8-f49e6464eaa1?source=cve · Nota
• https://t.me/cveNotify/138720 · Publicação no Telegram
• https://plugins.svn.wordpress.org/onoffice-for-wp-websites/tags/5.7/plugin/Record/RecordManagerReadListViewEstate.php#97 · Nota
• https://twitter.com/VulmonFeeds/status/1978499492765692035 · Publicação no Twitter