PT-2025-46779 · WordPress · Sureforms

Publicado 2025-11-13 · Atualizado 2026-04-07 · CVE-2025-12536

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin SureForms para WordPress em versões anteriores à 1.14.0

Descrição O plugin SureForms para WordPress está suscetível à divulgação de informações sensíveis nas versões até e incluindo a 1.13.1. Isso é resultado do parâmetro auth callback estar definido como return true durante o registro do metadado de post ' srfm email notification', o que permite acesso não autenticado aos metadados. A exploração bem-sucedida permite que atacantes não autenticados extraiam dados sensíveis, incluindo configurações de notificação por e-mail. Essas configurações frequentemente contêm endereços de dropbox de CRM/help desk fornecidos pelo fornecedor, destinatários em CC/BCC e modelos de notificação que poderiam ser explorados para injetar dados maliciosos em sistemas downstream.

Recomendações Atualize o plugin SureForms para a versão 1.14.0 ou posterior.

Correção

Enumeração de Fraquezas

CWE-359

Identificadores relacionados

CVE-2025-12536

Produtos afetados

Sureforms

Referências · 9

• https://plugins.trac.wordpress.org/browser/sureforms/tags/1.13.1/inc/post-types.php#L892 · Nota
• https://twitter.com/VulmonFeeds/status/1988884900133400871 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/2041380483662319934 · Publicação no Twitter
• https://t.me/cveNotify/142624 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3391762/sureforms/trunk/inc/post-types.php · Nota
• https://twitter.com/CVEnew/status/1988820394221137931 · Publicação no Twitter
• https://t.me/CVEtracker/37206 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/9e8e239a-0ddf-479e-b94b-7844ff6e9e81?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12536 · Nota de Segurança