PT-2025-51377 · WordPress · Fancy Product Designer

Muhammad Zeeshan · Publicado 2025-12-16 · Atualizado 2026-01-22 · CVE-2025-13439

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Fancy Product Designer para WordPress versões anteriores à 6.4.9

Descrição O software contém uma falha devido à validação inadequada da entrada fornecida pelo usuário no parâmetro url da ação AJAX 'fpd custom uplod file'. Esta entrada é passada diretamente para a função getimagesize() sem a devida sanitização. Embora a exploração via cadeias de filtros PHP seja restrita no PHP 8 e versões posteriores, a falha pode ser explorada através de uma condição de corrida TOCTOU ou pode ser diretamente explorável em instalações PHP 7.x. Isso permite que atacantes não autenticados leiam arquivos sensíveis arbitrários do servidor, como wp-config.php.

Recomendações Atualize o plugin Fancy Product Designer para a versão 6.4.9 ou posterior.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2025-13439

Produtos afetados

Fancy Product Designer

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/4fd6df9d-2963-44b1-bc4e-e53eda97a2a9?source=cve · Nota
• https://twitter.com/CVEnew/status/2001365821700858023 · Publicação no Twitter
• https://t.me/cveNotify/149504 · Publicação no Telegram
• https://t.me/cveNotify/145911 · Publicação no Telegram
• https://t.me/CVEtracker/39927 · Publicação no Telegram
• https://support.fancyproductdesigner.com/support/discussions/topics/13000036024 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13439 · Nota de Segurança