PT-2025-48388 · Unknown · Taosir Wtcms

St1Tch · Publicado 2025-11-30 · Atualizado 2025-12-25 · CVE-2025-13786

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas taosir WTCMS (versões afetadas não especificadas)

Descrição Existe uma falha de injeção de código na função fetch do arquivo /index.php. A manipulação do argumento content pode levar à injeção de código, e o ataque pode ser iniciado remotamente. O exploit está disponível publicamente. O produto utiliza um modelo de lançamento contínuo (rolling release), e não há detalhes específicos de versão disponíveis para os lançamentos afetados ou atualizados. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Special Elements Injection

Code Injection

Enumeração de Fraquezas

CWE-74

CWE-94

Identificadores relacionados

CVE-2025-13786

Produtos afetados

Taosir Wtcms

Referências · 13

• 🔥 https://github.com/TiKi-r/CVE-Report/blob/main/WtcmsRCE.md#3-proof-of-concept-poc · Exploit
• 🔥 https://github.com/TiKi-r/CVE-Report/blob/main/WtcmsRCE.md · Exploit
• https://vuldb.com/?submit.689523 · Nota
• https://t.me/cveNotify/144343 · Publicação no Telegram
• https://t.me/CVEtracker/38485 · Publicação no Telegram
• https://twitter.com/SecReportCVE/status/2004271394045985241 · Publicação no Twitter
• https://vuldb.com/?ctiid.333790 · Nota
• https://osv.dev/vulnerability/CVE-2025-13786 · Aviso do Fabricante
• https://vuldb.com/?id.333790 · Nota
• https://twitter.com/cracbot/status/1996897381816869257 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1995063328356319668 · Publicação no Twitter
• https://twitter.com/cracbot/status/1996172638558060884 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-13786 · Nota de Segurança