PT-2025-53921 · WordPress · Lucky Wheel For Woocommerce – Spin A Sale

Nguyen Truong · Publicado 2025-12-30 · Atualizado 2025-12-30 · CVE-2025-14509

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Lucky Wheel for WooCommerce – Spin a Sale para WordPress, versões até e incluindo a 1.1.13

Descrição O software contém uma vulnerabilidade de Injeção de Código PHP decorrente do uso de eval() para processar entradas fornecidas pelo usuário na configuração 'Conditional Tags', sem validação ou sanitização adequadas. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior executem código PHP arbitrário no servidor. Em instalações multisite do WordPress, Administradores do Site podem executar código arbitrário, o que não é um comportamento esperado, visto que a edição de arquivos de plugin/tema é tipicamente restrita para usuários que não sejam Super Administradores.

Recomendações Atualize o plugin Lucky Wheel for WooCommerce – Spin a Sale para WordPress para uma versão posterior à 1.1.13.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-14509

Produtos afetados

Lucky Wheel For Woocommerce – Spin A Sale

Referências · 7

• https://plugins.trac.wordpress.org/browser/woo-lucky-wheel/trunk/frontend/frontend.php#L127 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/9a41bc0e-0ab9-4cee-b3ca-d730c828782c?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/woo-lucky-wheel/tags/1.1.13/frontend/frontend.php#L127 · Nota
• https://twitter.com/CVEnew/status/2005965465403965523 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-14509 · Nota de Segurança
• https://t.me/cveNotify/147132 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3428063 · Nota