PT-2025-48004 · WordPress · Projectlist

Ivan Cese · Publicado 2025-11-25 · Atualizado 2025-11-25 · CVE-2025-13370

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin ProjectList para WordPress versões até e incluindo a 0.3.0

Descrição O plugin ProjectList para WordPress é suscetível a Injeção de SQL baseada em tempo. Isso se deve ao escape inadequado da entrada fornecida pelo usuário e à preparação insuficiente das consultas SQL existentes, especificamente através do parâmetro id. Atacantes autenticados com acesso de nível de Editor ou superior podem anexar consultas SQL adicionais às existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Atualize o plugin ProjectList para uma versão superior à 0.3.0.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-13370

Produtos afetados

Projectlist

Referências · 8

• https://twitter.com/CVEnew/status/1993225820803154366 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/projectlist/trunk/pages/pl-add.php#L61 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13370 · Nota de Segurança
• https://t.me/CVEtracker/38167 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1993299470763622615 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/projectlist/tags/0.3.0/pages/pl-add.php#L61 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/e424d27b-f719-4fbf-b4eb-83b42130666c?source=cve · Nota
• https://it.wordpress.org/plugins/projectlist · Nota