PT-2025-44583 · WordPress · Wordpress User Extra Fields

Tonn · Publicado 2025-10-31 · Atualizado 2025-10-31 · CVE-2025-7846

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas WordPress User Extra Fields versões até a 16.7 (inclusive)

Descrição O plugin WordPress User Extra Fields está suscetível à exclusão arbitrária de arquivos. Isso se deve à validação inadequada do caminho do arquivo dentro da função save fields(). Atacantes autenticados com acesso de nível de Assinante ou superior podem explorar essa vulnerabilidade para excluir arquivos arbitrários no servidor. A exclusão de arquivos críticos, como wp-config.php, pode levar à execução remota de código.

Recomendações As versões até a 16.7 (inclusive) devem ser atualizadas para uma versão mais recente e corrigida, quando disponível. Como medida temporária, considere restringir o acesso à função save fields() até que uma correção esteja disponível.

Correção

RCE

Enumeração de Fraquezas

CWE-36

Identificadores relacionados

CVE-2025-7846

Produtos afetados

Wordpress User Extra Fields

Referências · 10

• https://twitter.com/CveFindCom/status/1984193525580247392 · Publicação no Twitter
• https://twitter.com/CveTodo/status/1984161489142284627 · Publicação no Twitter
• https://t.me/CVEtracker/36266 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/c66d0fb4-e2df-4bdb-8ccb-18a96173a55d?source=cve · Nota
• https://twitter.com/CVEnew/status/1984166107754983830 · Publicação no Twitter
• https://twitter.com/RedPacketSec/status/1984200165083762805 · Publicação no Twitter
• https://codecanyon.net/item/user-extra-fields/12949844 · Nota
• https://twitter.com/VulmonFeeds/status/1984190960222249142 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-7846 · Nota de Segurança
• https://t.me/cveNotify/141080 · Publicação no Telegram