PT-2025-51469 · WordPress · Wpcom Member

Wesley · Publicado 2025-12-16 · Atualizado 2025-12-18 · CVE-2025-14002

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin WPCOM Member para WordPress em versões anteriores à 1.7.17

Descrição O software é suscetível a contorno de autenticação por meio de ataques de força bruta. Isso é causado por um processo fraco de geração de Senha de Uso Único (OTP), que utiliza apenas seis dígitos numéricos com um período de validade de dez minutos e ausência de limitação de taxa nas tentativas de verificação. Um atacante que conheça o número de telefone do alvo pode potencialmente contornar a autenticação como qualquer usuário, incluindo administradores, caso o alvo não perceba prontamente ou ignore a notificação SMS contendo o OTP.

Recomendações Atualize o plugin WPCOM Member para a versão 1.7.17 ou posterior.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2025-14002

Produtos afetados

Wpcom Member

Referências · 10

• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.16/includes/member-functions.php#L833 · Nota
• https://twitter.com/VulmonFeeds/status/2000914727715705016 · Publicação no Twitter
• https://twitter.com/MNovofastovsky/status/2001714082211144002 · Publicação no Twitter
• https://t.me/CVEtracker/39949 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wpcom-member/tags/1.7.16/includes/class-sesstion.php#L29 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-14002 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2000884869325578433 · Publicação no Twitter
• https://t.me/cveNotify/145918 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3411048/wpcom-member · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/4f02ee56-40bd-4132-92e1-e2897ff2a4c4?source=cve · Nota