PT-2025-52437 · WordPress · Mycred

Rafshanzani Suhada · Publicado 2025-12-19 · Atualizado 2025-12-19 · CVE-2025-12361

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas myCred – Sistema de Gerenciamento de Pontos para Gamificação, Classificações, Distintivos e Programa de Fidelidade, versões até e incluindo a 2.9.7.1

Descrição O software não verifica adequadamente a autorização do usuário, permitindo que invasores autenticados com acesso de nível de Assinante ou superior recuperem informações sensíveis dos usuários. Especificamente, os invasores podem acessar IDs de usuário, nomes de exibição e endereços de e-mail de todos os usuários no site através do endpoint da API get bank accounts. As senhas não são expostas.

Recomendações As versões anteriores à 2.9.7.1 devem ser atualizadas.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12361

Produtos afetados

Mycred

Referências · 8

• https://twitter.com/VulmonFeeds/status/2002125531899158907 · Publicação no Twitter
• https://t.me/cveNotify/146311 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3421768/mycred/trunk?contextall=1&old=3417299&old_path=%2Fmycred%2Ftrunk · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/43b05697-bc36-4f32-86b4-2feef892fe42?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/mycred/tags/2.9.5.1/addons/banking/services/mycred-service-central.php#L172 · Nota
• https://t.me/CVEtracker/40264 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2002099164050829555 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-12361 · Nota de Segurança