PT-2025-50569 · WordPress · Wp Cardealer

Friderika Baranyai · Publicado 2025-12-11 · Atualizado 2025-12-11 · CVE-2025-13764

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin WP CarDealer para WordPress versões anteriores à 1.2.17

Descrição O plugin WP CarDealer para WordPress está suscetível a um problema de escalonamento de privilégios. A função WP CarDealer User::process register não restringe adequadamente as atribuições de função de usuário durante o registro. Isso permite que atacantes não autenticados se registrem com a função 'administrator', obtendo acesso administrativo não autorizado ao site WordPress.

Recomendações Versões anteriores à 1.2.17 devem ser atualizadas. Como medida de contorno temporária, restrinja os registros de usuários até que um patch esteja disponível.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2025-13764

Produtos afetados

Wp Cardealer

Referências · 10

• https://twitter.com/CveFindCom/status/1998960676488790050 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1999108883210703091 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-13764 · Nota de Segurança
• https://t.me/cveNotify/145404 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/f4893d9c-e039-43df-80b9-dbe42374caed?source=cve · Nota
• https://twitter.com/0dayPublishing/status/1998945921413890152 · Publicação no Twitter
• https://twitter.com/offseq/status/1998966590306660849 · Publicação no Twitter
• https://t.me/CVEtracker/39438 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1999037872947478850 · Publicação no Twitter
• https://themeforest.net/item/boxcar-automotive-car-dealer-wordpress-theme/49741717 · Nota