PT-2025-51819 · WordPress · Zephyr Project Manager

Dylanjkotze · Publicado 2025-12-17 · Atualizado 2025-12-17 · CVE-2025-12496

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Zephyr Project Manager anteriores à 3.3.204

Descrição O plugin Zephyr Project Manager para WordPress está suscetível a uma vulnerabilidade de Traversal de Diretório através do parâmetro file. Isso permite que atacantes autenticados com acesso de nível Custom ou superior leiam arquivos arbitrários no servidor, potencialmente expondo informações sensíveis. Se allow url fopen estiver habilitado no servidor, essa vulnerabilidade também pode resultar em Falsificação de Solicitação no Lado do Servidor (SSRF).

Recomendações Atualize o Zephyr Project Manager para a versão 3.3.204 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2025-12496

Produtos afetados

Zephyr Project Manager

Referências · 8

• https://t.me/CVEtracker/40040 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-12496 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2001232127224852483 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/zephyr-project-manager/trunk/includes/Core/Projects.php#L1870 · Nota
• https://plugins.trac.wordpress.org/browser/zephyr-project-manager/trunk/includes/Base/AjaxHandler.php#L3506 · Nota
• https://twitter.com/CVEnew/status/2001350817543250067 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/2b4b0640-d61a-4969-a5c0-d2d709fb56d0?source=cve · Nota
• https://t.me/cveNotify/146064 · Publicação no Telegram