PT-2025-47282 · WordPress · Wmodes – Catalog Mode

Numex · Publicado 2025-11-18 · Atualizado 2025-11-18 · CVE-2025-12639

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin wModes – Catalog Mode, Product Pricing, Enquiry Forms & Promotions para WordPress, versões até e incluindo a 1.2.2

Descrição O plugin não verifica adequadamente a autorização do usuário ao acessar informações sensíveis por meio de um endpoint AJAX. Isso permite que invasores autenticados com acesso de nível de assinante ou superior extraiam dados sensíveis. Esses dados incluem e-mails de usuários, nomes de usuário, funções, capacidades e dados do WooCommerce, como produtos e métodos de pagamento. O endpoint vulnerável permite acesso não autorizado a essas informações.

Recomendações Atualize o plugin wModes – Catalog Mode, Product Pricing, Enquiry Forms & Promotions para WordPress para uma versão superior à 1.2.2.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12639

Produtos afetados

Wmodes – Catalog Mode

Referências · 10

• https://t.me/CVEtracker/37598 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/catalog-mode-pricing-enquiry-forms-promotions/tags/1.2.1/framework/reon/core/class.reon.core.ajax.php#L29 · Nota
• https://plugins.trac.wordpress.org/browser/catalog-mode-pricing-enquiry-forms-promotions/tags/1.2.1/framework/reon/core/class.reon.core.ajax.php#L165 · Nota
• https://plugins.trac.wordpress.org/browser/catalog-mode-pricing-enquiry-forms-promotions/tags/1.2.1/framework/reon/core/class.reon.core.ajax.php#L12 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12639 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1990830968098185468 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1990717530583818566 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3392651/catalog-mode-pricing-enquiry-forms-promotions/trunk?contextall=1&old=3390779&old_path=%2Fcatalog-mode-pricing-enquiry-forms-promotions%2Ftrunk#file11 · Nota
• https://t.me/cveNotify/143173 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/979001c4-45dd-4168-8749-c8eebe237b60?source=cve · Nota