PT-2025-44592 · WordPress · The Events Calendar

Publicado 2025-10-31 · Atualizado 2025-10-31 · CVE-2025-12175

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin The Events Calendar para WordPress versões até a 6.15.9

Descrição O plugin The Events Calendar para WordPress está suscetível a acesso não autorizado. A ausência de uma verificação de permissão no endpoint da API tec qr code modal permite que atacantes autenticados com acesso de nível de Assinante ou superior visualizem nomes de eventos em rascunho e gerem ou visualizem códigos QR para esses eventos. O endpoint da API vulnerável é /tec qr code modal.

Recomendações Atualize o plugin The Events Calendar para uma versão posterior à 6.15.9.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12175

Produtos afetados

The Events Calendar

Referências · 9

• https://github.com/the-events-calendar/the-events-calendar/blob/main/src/Events/QR/QR_Code.php · Nota
• https://twitter.com/CVEnew/status/1984180311429927262 · Publicação no Twitter
• https://t.me/CVEtracker/36271 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/ab844a05-80e0-42c7-981c-dea3a18cf4d5?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3386042/the-events-calendar/tags/6.15.10/src/Events/QR/QR_Code.php · Nota
• https://osv.dev/vulnerability/CVE-2025-12175 · Aviso do Fabricante
• https://t.me/cveNotify/141086 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1984244742222143591 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-12175 · Nota de Segurança