PT-2025-48665 · WordPress · Wp Directory Kit

Tmrswrr · Publicado 2025-12-02 · Atualizado 2025-12-02 · CVE-2025-13090

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do WP Directory Kit até e incluindo a 1.4.6

Descrição O plugin WP Directory Kit para WordPress está vulnerável a Injeção de SQL através do parâmetro search. Isso se deve à sanitização inadequada de entrada e à preparação insuficiente das consultas SQL existentes. Um atacante autenticado com acesso de nível de Administrador ou superior pode injetar consultas SQL adicionais, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Atualize o WP Directory Kit para uma versão superior à 1.4.6.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-13090

Produtos afetados

Wp Directory Kit

Referências · 8

• https://twitter.com/VulmonFeeds/status/1995891208242041071 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3396348%40wpdirectorykit&new=3396348%40wpdirectorykit&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/d0fbf502-2dfb-49e5-94a6-1525aabc08c1?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13090 · Nota de Segurança
• https://t.me/CVEtracker/38655 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3405484%40wpdirectorykit&new=3405484%40wpdirectorykit&sfp_email=&sfph_mail= · Nota
• https://twitter.com/CVEnew/status/1995818532601229653 · Publicação no Twitter
• https://t.me/cveNotify/144509 · Publicação no Telegram