PT-2025-50813 · WordPress · Infility Global

Kenneth Dunn · Publicado 2025-12-12 · Atualizado 2025-12-17 · CVE-2025-12968

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Infility Global anteriores à 2.14.24

Descrição O plugin Infility Global para WordPress está suscetível a upload de arquivos arbitrários devido à validação inadequada de tipo de arquivo e à falta de verificações de permissão. A função upload file dentro da classe infility import file valida apenas o tipo MIME, que pode ser facilmente manipulado. Além disso, a função import data carece de verificações de permissão adequadas. Isso permite que invasores autenticados com acesso de nível de assinante ou superior façam upload de arquivos arbitrários para o servidor, potencialmente levando à execução remota de código.

Recomendações Atualize o Infility Global para a versão 2.14.24 ou posterior.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-12968

Produtos afetados

Infility Global

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2025-12968 · Nota de Segurança
• https://wordpress.org/plugins/infility-global · Nota
• https://twitter.com/cracbot/status/2001246040138375519 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3421596%40infility-global&new=3421596%40infility-global&sfp_email=&sfph_mail= · Nota
• https://twitter.com/CveFindCom/status/1999338353901056281 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/542a18f6-9d17-4e54-85e1-e01630ca371e?source=cve · Nota