PT-2025-52572 · WordPress · Wishsuite

Djaidja Moundjid · CVE-2025-13838 · Publicado 2025-12-21 · Atualizado 2025-12-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do WishSuite até e incluindo a 1.5.1

Descrição O plugin WishSuite para WordPress está vulnerável a Cross-Site Scripting Armazenado. Isso se deve à sanitização de entrada e ao escape de saída insuficientes no parâmetro 'button text' do shortcode 'wishsuite button'. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Recomendações Atualize o WishSuite para uma versão posterior à 1.5.1.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-13838

Produtos afetados

Wishsuite

Referências · 9

• https://plugins.trac.wordpress.org/browser/wishsuite/tags/1.5.1/includes/templates/wishsuite-button-add.php#L1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13838 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/4e1cd584-ffb8-43d6-a7b6-141c59ac463d?source=cve · Nota
• https://t.me/cveNotify/146456 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wishsuite/trunk/includes/templates/wishsuite-button-add.php#L1 · Nota
• https://twitter.com/VulmonFeeds/status/2002594246746947712 · Publicação no Twitter
• https://t.me/CVEtracker/40355 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3419202 · Nota
• https://twitter.com/CVEnew/status/2002835935260532879 · Publicação no Twitter