PT-2025-42674 · WordPress · Gappointments

Publicado 2025-10-18 · Atualizado 2025-10-18 · CVE-2017-20206

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Appointments para WordPress versões até e incluindo a 2.2.1

Descrição O plugin Appointments para WordPress está suscetível a Injeção de Objetos PHP através da desserialização de entrada não confiável recebida do cookie wpmudev appointments. Isso permite que atacantes não autenticados injetem um Objeto PHP. Relatos indicam exploração ativa desta vulnerabilidade, com atacantes utilizando a classe WP Theme() para estabelecer backdoors.

Recomendações Atualize o plugin Appointments para uma versão superior à 2.2.1.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2017-20206

Produtos afetados

Gappointments

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2017-20206 · Nota de Segurança
• https://t.me/CVEtracker/35249 · Publicação no Telegram
• https://t.me/cveNotify/139304 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/1733186/appointments · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/7e8f230e-3f96-4efd-806d-72725b960303?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2017-20206 · Aviso do Fabricante
• https://wordfence.com/blog/2017/10/3-zero-day-plugin-vulnerabilities-exploited-wild · Nota