PT-2025-45559 · WordPress · Academy Lms

Michelle Porter · Publicado 2025-11-08 · Atualizado 2025-11-13 · CVE-2025-12099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Academy LMS – Plugin WordPress LMS para Solução Completa de eLearning versões anteriores à 3.3.9

Descrição O software é suscetível a uma Injeção de Objeto PHP devido à desserialização de entrada não confiável dentro da função import all courses. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior injetem um Objeto PHP. O impacto deste problema é limitado, a menos que outro plugin ou tema contendo uma cadeia de payload de objeto PHP (POP) esteja instalado, o que poderia permitir ações como exclusão arbitrária de arquivos, recuperação de dados sensíveis ou execução de código.

Recomendações Versões anteriores à 3.3.9 devem ser atualizadas.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-12099

Produtos afetados

Academy Lms

Referências · 9

• https://t.me/cveNotify/142206 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/academy/trunk/includes/ajax/course.php#L815 · Nota
• https://twitter.com/cracbot/status/1988924865517351151 · Publicação no Twitter
• https://t.me/CVEtracker/36860 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1987086499872162167 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-12099 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1987156359217811700 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/294b2a7c-8b54-4022-a3af-9a3e3d1d4c11?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3390420 · Nota