PT-2025-9064 · WordPress · Product Catalog Simple

Krzysztof Zając · CVE-2025-1405 · Publicado 2025-02-28 · Atualizado 2025-02-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Product Catalog Simple para WordPress em versões anteriores à 1.7.12

Descrição O problema surge devido à sanitização de entrada e escapamento de saída insuficientes nos atributos fornecidos pelo usuário no shortcode show products. Isso permite que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados sempre que um usuário acessar uma página injetada.

Recomendações Para versões anteriores à 1.7.12, atualize para a versão 1.7.12 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso ao shortcode show products para usuários com acesso de nível de contribuidor ou superior até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-1405

Produtos afetados

Product Catalog Simple

Referências · 8

• https://wordfence.com/threat-intel/vulnerabilities/id/c2ddd9a2-79d7-4f9c-9832-25c3363d3ce9?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2025-1405 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1895619341921763410 · Publicação no Twitter
• https://t.me/cvenotify/112759 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-1405 · Nota de Segurança
• https://t.me/cvedetector/19124 · Publicação no Telegram
• https://wordpress.org/plugins/post-type-x/#developers · Nota
• https://plugins.trac.wordpress.org/changeset/3246414 · Correção