PT-2025-7475 · WordPress · Modal Window

Bassem Essam · Publicado 2025-02-20 · Atualizado 2025-02-20 · CVE-2025-0897

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas O plugin Modal Window para WordPress, versões até a 6.1.5, inclusive

Descrição O problema está relacionado a Cross-Site Scripting (XSS) Armazenado via shortcode 'iframeBox' do plugin, devido à sanitização de entrada e escape de saída insuficientes nos atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página injetada.

Recomendações Para versões até a 6.1.5, inclusive, atualize para uma versão superior à 6.1.5 para resolver o problema. Como solução temporária, considere desativar o shortcode iframeBox até que um patch esteja disponível. Restrinja o acesso ao shortcode para minimizar o risco de exploração. Evite usar o shortcode iframeBox em páginas até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-0897

Produtos afetados

Modal Window

Referências · 9

• https://osv.dev/vulnerability/CVE-2025-0897 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-0897 · Nota de Segurança
• https://wordpress.org/plugins/modal-window/#developers · Nota
• https://t.me/cvedetector/18534 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1892512506620399724 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/modal-window/trunk/public/class-shortcodes.php#L70 · Nota
• https://twitter.com/CVEnew/status/1892495180772823083 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3243077 · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/de4dfcc7-fcc0-46e5-8452-98783007368d?source=cve · Nota