PT-2025-51229 · WordPress · Fox Lms

Kenneth Dunn · Publicado 2025-12-15 · Atualizado 2025-12-20 · CVE-2025-14156

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Fox LMS – WordPress LMS Plugin versões anteriores à 1.0.5.1

Descrição O plugin Fox LMS – WordPress LMS não valida adequadamente o parâmetro role ao criar novos usuários via endpoint de API /fox-lms/v1/payments/create-order. Isso permite que atacantes não autenticados criem novas contas de usuário com funções arbitrárias, incluindo administrador, potencialmente levando ao comprometimento completo do site.

Recomendações Versões anteriores à 1.0.5.1 devem ser atualizadas para a versão 1.0.5.1 ou posterior.

Correção

LPE

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2025-14156

Produtos afetados

Fox Lms

Referências · 11

• https://wordfence.com/threat-intel/vulnerabilities/id/de4f8d45-9522-4a32-bc98-be8dbf3a5cf1?source=cve · Nota
• https://twitter.com/CVEnew/status/2000611201055850675 · Publicação no Twitter
• https://twitter.com/Nxploited/status/2002474854172537241 · Publicação no Twitter
• https://twitter.com/MNovofastovsky/status/2001970780071202955 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2000580475732078629 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2000597642813051023 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?old_path=%2Ffox-lms%2Ftags%2F1.0.5.0%2Fincludes%2Frest%2FPayments.php&new_path=%2Ffox-lms%2Ftags%2F1.0.5.2%2Fincludes%2Frest%2FPayments.php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-14156 · Nota de Segurança
• https://twitter.com/CveFindCom/status/2000591478100299921 · Publicação no Twitter
• https://t.me/CVEtracker/39838 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2000610115276177734 · Publicação no Twitter