PT-2025-9039 · WordPress · Cardealer Theme

István Márton · CVE-2025-1681 · Publicado 2025-02-27 · Atualizado 2025-03-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Tema Cardealer para WordPress versões até e incluindo a 1.6.4

Descrição O problema está relacionado à falta de verificação de capacidades e à falta de sanitização de nomes de arquivo nas funções AJAX do esquema de tema de demonstração. Isso permite que atacantes autenticados com acesso de nível de assinante ou superior modifiquem ou excluam arquivos css e js arbitrários, resultando em modificação não autorizada de dados e potencial perda de dados.

Recomendações Para versões até e incluindo a 1.6.4, atualize para uma versão que inclua as verificações de capacidades e sanitização de nomes de arquivo necessárias para prevenir modificações não autorizadas. Como solução temporária, considere restringir o acesso às funções AJAX do esquema de tema de demonstração para prevenir a exploração por atacantes autenticados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-1681

Produtos afetados

Cardealer Theme

Referências · 9

• https://twitter.com/cybercronai/status/1895727036645126148 · Publicação no Twitter
• https://webtemplatemasters.com/cardealer/changelog/#v165 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/3e394ee2-13c1-4b04-a8a5-4642f1794d59?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-1681 · Nota de Segurança
• https://t.me/cvenotify/112730 · Publicação no Telegram
• https://themeforest.net/item/car-dealer-automotive-wordpress-theme-responsive/8574708 · Nota
• https://twitter.com/CVEnew/status/1895260224593842257 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1895365009821028554 · Publicação no Twitter
• https://t.me/cvedetector/19112 · Publicação no Telegram