PT-2025-46247 · WordPress · Easycommerce

Kenneth Dunn · CVE-2025-11457 · Publicado 2025-11-11 · Atualizado 2025-11-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas EasyCommerce – Plugin de E-commerce para WordPress Impulsionado por IA, Rápido e Elegante versões 0.9.0-beta2 até 1.5.0

Descrição O plugin EasyCommerce para WordPress possui uma falha na qual o endpoint da API /easycommerce/v1/orders não limita adequadamente a seleção de função do usuário durante o registro. Isso permite que atacantes não autenticados obtenham acesso de nível de administrador em um site vulnerável. A requisição POST para este endpoint permite que atacantes se registrem com privilégios administrativos sem autenticação.

Recomendações As versões 0.9.0-beta2 até 1.5.0 devem ser atualizadas para uma versão mais recente e segura.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2025-11457

Produtos afetados

Easycommerce

Referências · 9

• https://wordfence.com/threat-intel/vulnerabilities/id/7ebe84ba-abc1-410c-b315-118746ff235a?source=cve · Nota
• https://wordpress.org/plugins/easycommerce · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11457 · Nota de Segurança
• https://twitter.com/CVEnew/status/1988095319935005157 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/1988093053630882264 · Publicação no Twitter
• https://t.me/cveNotify/142365 · Publicação no Telegram
• https://twitter.com/MNovofastovsky/status/1990056122569420876 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3392029/easycommerce/trunk/app/Abstracts/User.php · Nota
• https://twitter.com/gothburz/status/1989106393043857697 · Publicação no Twitter