PT-2025-50571 · WordPress · Wordpress List Category Posts

Khanh Nguyen · Publicado 2025-12-11 · Atualizado 2025-12-11 · CVE-2025-10163

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WordPress List Category Posts até a 0.91.0

Descrição O plugin List Category Posts para WordPress possui uma falha onde uma Injeção de SQL baseada em tempo pode ocorrer através do parâmetro starting with do shortcode catlist. Isso se deve ao escape inadequado de entrada fornecida pelo usuário e à preparação insuficiente da consulta SQL. Atacantes com acesso de nível Contribuidor ou superior podem adicionar consultas SQL às existentes, potencialmente extraindo informações sensíveis do banco de dados.

Recomendações Atualize o plugin WordPress List Category Posts para uma versão superior à 0.91.0.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-10163

Produtos afetados

Wordpress List Category Posts

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/21708205-dd43-4b22-9151-bc6f882422cb?source=cve · Nota
• https://t.me/CVEtracker/39444 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1999032753224913047 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/list-category-posts/tags/0.91.0/include/lcp-parameters.php#L240 · Nota
• https://twitter.com/CVEnew/status/1999108880698405234 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-10163 · Nota de Segurança