PT-2025-47702 · WordPress · Wordpress+1

Moose Love · Publicado 2025-11-21 · Atualizado 2025-11-26 · CVE-2025-13159

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Plugin Flo Forms – Easy Drag & Drop Form Builder para WordPress, versões até e incluindo a 1.0.43

Descrição O plugin Flo Forms para WordPress é vulnerável a Cross-Site Scripting Armazenado por meio de uploads de arquivos SVG. O plugin permite o upload de arquivos SVG por meio de um endpoint AJAX não autenticado, flo form submit, sem validação adequada do conteúdo do arquivo. Isso permite que atacantes não autenticados façam upload de arquivos SVG maliciosos contendo JavaScript. Quando um administrador visualiza o arquivo carregado dentro da interface de administração do WordPress, o JavaScript malicioso é executado, podendo levar ao comprometimento total do site.

Recomendações Atualize o plugin Flo Forms – Easy Drag & Drop Form Builder para uma versão superior à 1.0.43.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-13159

Produtos afetados

Flo Forms

Wordpress

Referências · 9

• https://twitter.com/cracbot/status/1993635897137627329 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1991798760888782933 · Publicação no Twitter
• https://t.me/CVEtracker/37914 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/8c529017-2fb9-4665-97a6-3ec062908299?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/flo-forms/trunk/admin/class-flo-forms-admin.php#L821 · Nota
• https://twitter.com/CVEnew/status/1991776209504727490 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/flo-forms/trunk/public/class-flo-forms-public.php#L502 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13159 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/flo-forms/trunk/includes/class-flo-forms.php#L301 · Nota