PT-2025-6807 · WordPress · Bit Assist

Arkadiusz Hydzik · Publicado 2025-02-14 · Atualizado 2025-02-25 · CVE-2025-0821

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Bit Assist para WordPress versões até a 1.5.2 (inclusive)

Descrição Esta vulnerabilidade permite que atacantes autenticados, com acesso de nível de Assinante ou superior, extraiam informações sensíveis do banco de dados por meio de Injeção de SQL baseada em tempo. Isso ocorre devido ao escapamento insuficiente no parâmetro id fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, permitindo que atacantes anexem consultas SQL adicionais às consultas já existentes.

Recomendações Para versões até a 1.5.2 (inclusive), atualize para uma versão que corrija o problema de Injeção de SQL para prevenir a exploração. Como solução temporária, considere restringir o acesso ao parâmetro id no plugin afetado para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-0821

Produtos afetados

Bit Assist

Referências · 9

• https://plugins.trac.wordpress.org/browser/bit-assist/tags/1.5.2/backend/app/HTTP/Controllers/WidgetChannelController.php#L89 · Nota
• https://wordpress.org/plugins/bit-assist/#developers · Nota
• https://plugins.trac.wordpress.org/changeset/3239816/#file5 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-0821 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/b64fc9d8-ea02-49e7-add1-8d83f0f41431?source=cve · Nota
• https://t.me/cvedetector/18082 · Publicação no Telegram
• https://t.me/cvenotify/111359 · Publicação no Telegram
• https://t.me/cvenotify/112390 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-0821 · Aviso do Fabricante