PT-2025-48007 · WordPress · Frontend File Manager Plugin

Rajesh Singh · Publicado 2025-11-25 · Atualizado 2025-11-25 · CVE-2025-13382

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Frontend File Manager para WordPress versões anteriores à 23.4

Descrição O plugin não valida a propriedade do arquivo antes de processar solicitações de renomeação de arquivos. Isso permite que atacantes autenticados com acesso de nível de Assinante ou superior renomeiem arquivos carregados por outros usuários. O problema está presente no endpoint da API '/wpfm/v1/file-rename', onde o parâmetro fileid é usado sem a devida validação.

Recomendações Atualize o Plugin Frontend File Manager para WordPress para a versão 23.4 ou superior.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-13382

Produtos afetados

Frontend File Manager Plugin

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/aa8d5feb-2ae9-44b8-90b5-9fc67226855a?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/nmedia-user-file-uploader/tags/23.4/inc/classes/class.rest.php#L20 · Nota
• https://plugins.trac.wordpress.org/browser/nmedia-user-file-uploader/tags/23.5/inc/classes/class.rest.php#L20 · Nota
• https://twitter.com/VulmonFeeds/status/1993291791739523375 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-13382 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/nmedia-user-file-uploader/tags/23.4/inc/classes/class.rest.php#L52 · Nota
• https://t.me/CVEtracker/38170 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1993225825421083121 · Publicação no Twitter