PT-2025-42696 · Unknown+1 · Woocommerce+1

Talal Nasraddeen · Publicado 2025-10-18 · Atualizado 2026-02-13 · CVE-2025-11391

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas PPOM – Product Addons & Custom Fields for WooCommerce versões até e incluindo a 33.0.15

Descrição O plugin PPOM – Product Addons & Custom Fields for WooCommerce para WordPress está suscetível a uploads arbitrários de arquivos. Isso se deve à falta de validação de tipo de arquivo na funcionalidade de recorte de imagem. Atacantes não autenticados podem explorar essa falha para enviar arquivos arbitrários ao servidor, potencialmente resultando em execução remota de código. O problema afetou especificamente usuários com a versão paga do software instalada e ativada.

Recomendações Atualize o PPOM – Product Addons & Custom Fields for WooCommerce para a versão 33.0.16 ou superior.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-11391

Produtos afetados

Ppom – Product Addons & Custom Fields For Woocommerce

Woocommerce

Referências · 11

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3379431%40woocommerce-product-addon&new=3379431%40woocommerce-product-addon&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/cf851bed-f5d8-44e2-810d-906ba3d3c1c5?source=cve · Nota
• https://twitter.com/0dayPublishing/status/1979440880948740492 · Publicação no Twitter
• https://twitter.com/akaclandestine/status/1980561012869767231 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-11391 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1979444718724391322 · Publicação no Twitter
• https://twitter.com/CveTodo/status/1979449602823598121 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/woocommerce-product-addon/trunk/inc/hooks.php#L45 · Nota
• https://t.me/cveNotify/139329 · Publicação no Telegram
• https://t.me/CVEtracker/35265 · Publicação no Telegram
• https://twitter.com/akaclandestine/status/2022368574988341492 · Publicação no Twitter