PT-2025-50890 · WordPress · Hippoo Mobile App For Woocommerce

Numex · Publicado 2025-12-12 · Atualizado 2025-12-12 · CVE-2025-12655

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Hippoo Mobile App for WooCommerce para WordPress, versões até e incluindo 1.7.1

Descrição O software está suscetível à gravação não autorizada de arquivos devido a uma verificação de autorização ausente. O endpoint da API REST /wp-json/hippoo/v1/wc/token/save callback/{token id} é registrado com permission callback => ' return true', o que permite acesso não autenticado. Isso permite que atacantes gravem conteúdo JSON arbitrário no diretório de upload publicamente acessível do servidor através do endpoint vulnerável. O token id é uma variável dentro do endpoint da API.

Recomendações Atualize o plugin Hippoo Mobile App for WooCommerce para WordPress para uma versão superior à 1.7.1.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12655

Produtos afetados

Hippoo Mobile App For Woocommerce

Referências · 7

• https://t.me/cveNotify/145559 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/d34701a0-c745-441c-8d6c-7befc877f8d0?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/hippoo/tags/1.6.1/app/web_api.php#L117 · Nota
• https://plugins.trac.wordpress.org/browser/hippoo/tags/1.6.1/app/utils.php#L1 · Nota
• https://plugins.trac.wordpress.org/browser/hippoo/tags/1.6.1/app/web_api.php#L45 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12655 · Nota de Segurança
• https://t.me/CVEtracker/39586 · Publicação no Telegram