PT-2025-52734 · WordPress · Wordpress Calendar

Trung Hieu · Publicado 2025-12-23 · Atualizado 2025-12-23 · CVE-2025-14548

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin Calendar do WordPress anteriores à 1.3.17

Descrição O plugin Calendar para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à sanitização de entrada e escape de saída insuficientes no parâmetro event desc. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada, desde que um administrador tenha habilitado usuários de privilégios inferiores para gerenciar eventos do calendário através das configurações do plugin.

Recomendações Atualize o plugin Calendar para a versão 1.3.17 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-14548

Produtos afetados

Wordpress Calendar

Referências · 9

• https://wordfence.com/threat-intel/vulnerabilities/id/2e61489d-a433-4d44-bb12-8c84204922b9?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/calendar/trunk/calendar.php#L899 · Nota
• https://t.me/cveNotify/146637 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-14548 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/calendar/trunk/calendar.php#L2154 · Nota
• https://plugins.trac.wordpress.org/changeset?new=3419088%40calendar%2Ftrunk&old=3122280%40calendar%2Ftrunk · Nota
• https://t.me/CVEtracker/40472 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2003567301073736009 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2003418964114731046 · Publicação no Twitter