PT-2025-6809 · WordPress · Puzzles

István Márton · CVE-2025-0837 · Publicado 2025-02-13 · Atualizado 2025-02-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas O tema Puzzles para WordPress, versões até e incluindo a 4.2.4

Descrição A questão está relacionada a Cross-Site Scripting (XSS) Armazenado via shortcodes, devido à sanitização de entrada e escape de saída insuficientes nos atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com permissões de nível de colaborador ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página afetada.

Recomendações Para as versões até e incluindo a 4.2.4, atualize para uma versão que resolva o problema de sanitização de entrada e escape de saída insuficientes. Como medida temporária, considere restringir o uso de shortcodes para minimizar o risco de exploração. Além disso, limite as permissões de nível de colaborador ou superior apenas a usuários confiáveis.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-0837

Produtos afetados

Puzzles

Referências · 8

• https://twitter.com/CVEnew/status/1890046666146820182 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-0837 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-0837 · Aviso do Fabricante
• https://themeforest.net/item/puzzles-wordpress-magazinereview-with-wooc/5690583 · Nota
• https://t.me/cvenotify/111165 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/669e3015-b64c-440d-bc06-db4828c07196?source=cve · Nota
• https://t.me/cvenotify/112305 · Publicação no Telegram
• https://t.me/cvedetector/17973 · Publicação no Telegram