PT-2025-46267 · WordPress · Cryptoplugin

CVE-2025-11988 · Publicado 2025-11-11 · Atualizado 2025-11-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Crypto para WordPress em versões anteriores à 2.23

Descrição O plugin Crypto para WordPress está suscetível à manipulação não autorizada de dados. Isso é causado por uma ação AJAX não autenticada, wp ajax nopriv crypto connect ajax process, que permite chamar o método crypto delete json apenas com uma verificação de nonce. Isso permite que atacantes não autenticados excluam arquivos JSON que correspondam ao padrão * pending.json no diretório wp-content/uploads/yak/, potencialmente levando à perda de dados e negação de serviço para fluxos de trabalho do plugin que dependem desses arquivos.

Recomendações Atualize o plugin Crypto para a versão 2.23 ou posterior.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-11988

Produtos afetados

Cryptoplugin

Referências · 5

• https://wordfence.com/threat-intel/vulnerabilities/id/3281d6eb-9f14-43d4-a4d4-532993039e53?source=cve · Nota
• https://twitter.com/CVEnew/status/1988095341250380157 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-11988 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/crypto/tags/2.22/includes/class-crypto_connect_ajax_register.php#L9 · Nota
• https://plugins.trac.wordpress.org/browser/crypto/tags/2.22/includes/class-crypto_connect_ajax_register.php#L137 · Nota