PT-2025-47715 · WordPress · Magical Products Display

Abu Hurayra · Publicado 2025-11-21 · Atualizado 2025-11-21 · CVE-2025-12964

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Magical Products Display para WordPress versões até e incluindo a 1.1.29

Descrição O plugin Magical Products Display para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à sanitização de entrada e escape de saída insuficientes dos nomes de tags HTML fornecidos pelo usuário nos parâmetros mpdpr title tag e mpdpr subtitle tag dentro do widget MPD Pricing Table. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Recomendações Atualize o plugin Magical Products Display para uma versão posterior à 1.1.29.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-12964

Produtos afetados

Magical Products Display

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/758e23b9-c3d5-4f1c-9659-66483d6f0578?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3394768%40magical-products-display&new=3394768%40magical-products-display&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12964 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/magical-products-display/tags/1.1.29/includes/widgets/pricing-table.php#L2167 · Nota
• https://t.me/cveNotify/143544 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/magical-products-display/tags/1.1.29/includes/widgets/pricing-table.php#L2149 · Nota
• https://t.me/CVEtracker/37927 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1991813179983155292 · Publicação no Twitter