PT-2025-47255 · WordPress · The Permalinks Cascade

Nabil Irawan · Publicado 2025-11-18 · Atualizado 2025-11-18 · CVE-2025-12372

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Permalinks Cascade para WordPress versões até e incluindo a 2.2

Descrição O plugin Permalinks Cascade para WordPress não verifica adequadamente a autorização do usuário ao executar determinadas ações. Especificamente, a função handleTPCAdminAjaxRequest carece de verificações suficientes, permitindo que atacantes autenticados com acesso de nível de assinante ou superior executem ações administrativas não autorizadas. Essas ações incluem habilitar ou desabilitar configurações de ping automático e modificar configurações de exclusão de páginas.

Recomendações Atualize o plugin Permalinks Cascade para uma versão posterior à 2.2.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12372

Produtos afetados

The Permalinks Cascade

Referências · 5

• https://twitter.com/CVEnew/status/1990703890577449081 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/the-permalinks-cascade/tags/2.2/includes/core.class.php#L36 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12372 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/c08d420d-d521-4215-9ef7-b5d1c44a19d3?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/the-permalinks-cascade/tags/2.2/admin/admin-controller.class.php#L109 · Nota