CVE-2025-2798

Nome do Software Vulnerável e Versões Afetadas Tema Woffice CRM para WordPress, versões até e incluindo a 5.4.21

Descrição O problema deve-se a uma misconfiguração das funções excluídas durante o registro, permitindo que atacantes não autenticados se registrem com a função de Administrador caso um formulário de login personalizado esteja sendo utilizado. Isso pode ser combinado com outras ações para contornar o processo de aprovação de usuário, caso um Administrador seja enganado para realizar uma ação, como clicar em um link.

Recomendações Para versões até e incluindo a 5.4.21, atualize para uma versão que corrija a misconfiguração das funções excluídas durante o registro para prevenir o Bypass de Autenticação. Como solução alternativa temporária, considere desativar formulários de login personalizados até que um patch esteja disponível. Restrinja o acesso ao processo de registro para minimizar o risco de exploração.