PT-2025-49235 · WordPress · User Generator/Importer

Ivan Cese · Publicado 2025-12-05 · Atualizado 2025-12-10 · CVE-2025-12879

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin User Generator and Importer para WordPress, versões até e incluindo a 1.2.2

Descrição O plugin é vulnerável a Falsificação de Solicitação Entre Sites (CSRF) devido à ausência de validação de nonce na função "Import Using CSV File". Isso permite que atacantes não autenticados potencialmente criem contas arbitrárias com privilégios de administrador forjando uma requisição, caso consigam induzir um administrador do site a realizar uma ação. A função Import Using CSV File carece de validação adequada, possibilitando este problema.

Recomendações Atualize o plugin User Generator and Importer para uma versão superior à 1.2.2.

Correção

LPE

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2025-12879

Produtos afetados

User Generator/Importer

Referências · 9

• https://twitter.com/cracbot/status/1998709331056013466 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1996892051611295993 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/user-importer-and-generator/tags/1.2.2/user-generator.php#L145 · Nota
• https://twitter.com/VulmonFeeds/status/1996992092417982970 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-12879 · Nota de Segurança
• https://t.me/cveNotify/144852 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1996893845309555162 · Publicação no Twitter
• https://t.me/CVEtracker/38917 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/82699a17-ea45-4493-98c4-07f62ca0b1f9?source=cve · Nota