PT-2025-42700 · WordPress · Ppom – Product Addons & Custom Fields For Woocommerce

Talal Nasraddeen · Publicado 2025-10-18 · Atualizado 2025-10-25 · CVE-2025-11691

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas PPOM – Plugin Product Addons & Custom Fields for WooCommerce para WordPress versões anteriores à 33.0.16

Descrição O software contém uma falha de Injeção de SQL na função PPOM Meta::get fields by id(). O escape insuficiente de parâmetros fornecidos pelo usuário e a preparação inadequada de consultas SQL permitem que atacantes não autenticados injetem consultas SQL adicionais nas consultas existentes, potencialmente extraindo informações sensíveis do banco de dados. Isso é explorável quando a configuração "Enable Legacy Price Calculations" está habilitada.

Recomendações Atualize o plugin PPOM – Product Addons & Custom Fields for WooCommerce para a versão 33.0.16 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-11691

Produtos afetados

Ppom – Product Addons & Custom Fields For Woocommerce

Referências · 8

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3379431%40woocommerce-product-addon&new=3379431%40woocommerce-product-addon&sfp_email=&sfph_mail= · Nota
• https://twitter.com/MNovofastovsky/status/1982010384329371948 · Publicação no Twitter
• https://twitter.com/RedPacketSec/status/1979480363085783148 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1979458522212340059 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-11691 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/woocommerce-product-addon/trunk/classes/ppom.class.php#L337 · Nota
• https://t.me/CVEtracker/35269 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/eefcc290-b7f7-4cf0-9ccc-db4c883d6426?source=cve · Nota