PT-2025-48790 · WordPress · Modula Image Gallery

Yevhenii Butenko · Publicado 2025-12-03 · Atualizado 2025-12-08 · CVE-2025-13646

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Modula Image Gallery para WordPress versões 2.13.1 a 2.13.2

Descrição O plugin Modula Image Gallery para WordPress está suscetível a upload arbitrário de arquivos devido à falta de validação de tipo de arquivo. Este problema está presente na função ajax unzip file. Atacantes autenticados com acesso de nível de Autor ou superior podem fazer upload de arquivos arbitrários, potencialmente levando à execução remota de código devido a uma condição de corrida no servidor. A função ajax unzip file é o componente afetado por este problema.

Recomendações Atualize o plugin Modula Image Gallery para uma versão superior à 2.13.2.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-13646

Produtos afetados

Modula Image Gallery

Referências · 12

• https://github.com/WPChill/modula-lite/blob/master/includes/admin/class-modula-gallery-upload.php#L1103 · Nota
• https://github.com/WPChill/modula-lite/commit/90c8eb982f71b31584d9be9359e3b594e03927d7 · Nota
• https://twitter.com/cracbot/status/1997984542293151850 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/59ee0ca2-846d-4ae8-ad19-7c3826861aeb?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2025-13646 · Aviso do Fabricante
• https://t.me/CVEtracker/38731 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3395701/modula-best-grid-gallery#file5 · Correção
• https://twitter.com/RedPacketSec/status/1996089086738608146 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3407949/modula-best-grid-gallery · Correção
• https://t.me/cveNotify/144579 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-13646 · Nota de Segurança
• https://twitter.com/CVEnew/status/1996064377724678574 · Publicação no Twitter