PT-2025-47691 · WordPress · Wpbookit

Ryan Kozak · Publicado 2025-11-21 · Atualizado 2025-11-26 · CVE-2025-12135

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do WPBookit até e incluindo a 1.0.6

Descrição O plugin WPBookit para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à falta de uma verificação de capacidade na função save custome code(), permitindo que atacantes não autenticados injetem scripts web arbitrários. Esses scripts serão executados sempre que um usuário acessar uma página injetada via o parâmetro css code.

Recomendações Atualize o WPBookit para uma versão superior à 1.0.6.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-12135

Produtos afetados

Wpbookit

Referências · 11

• 🔥 https://github.com/d0n601/CVE-2025-12135 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-12135 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/wpbookit/trunk/core/admin/classes/class.wpb-admin-routes.php#L118 · Nota
• https://plugins.trac.wordpress.org/browser/wpbookit/trunk/core/admin/classes/controllers/class.wpb-setting-controller.php#L16 · Nota
• https://plugins.trac.wordpress.org/browser/wpbookit/trunk/core/admin/classes/class.wpb-admin-routes-handler.php#L15 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/7d7b2c79-c4f7-4611-a22a-685d4421a4ab?source=cve · Nota
• https://twitter.com/CVEnew/status/1991776211362804043 · Publicação no Twitter
• https://ryankozak.com/posts/cve-2025-12135 · Nota
• https://twitter.com/VulmonFeeds/status/1991826920854413774 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3398463%40wpbookit&new=3398463%40wpbookit&sfp_email=&sfph_mail= · Nota
• https://twitter.com/cracbot/status/1993635893446660223 · Publicação no Twitter