CVE-2025-5692

Nome do Software Vulnerável e Versões Afetadas: Plugin Lead Form Data Collection to CRM para WordPress, versões até e incluindo a 3.1

Descrição: A falha permite a modificação não autorizada de dados, resultando em escalonamento de privilégios devido à ausência de uma verificação de capacidade na função doFieldAjaxAction(). Isso permite que atacantes autenticados com acesso de nível de Assinante ou superior atualizem opções arbitrárias no site WordPress, potencialmente alterando a função padrão para registro para Administrador e habilitando o registro de usuários para que os atacantes obtenham acesso de usuário administrativo.

Recomendações: Para as versões até e incluindo a 3.1, atualize para uma versão que inclua a correção para a verificação de capacidade ausente na função doFieldAjaxAction(). Como medida paliativa temporária, considere desativar a função doFieldAjaxAction() até que uma correção esteja disponível. Restrinja o acesso às ações AJAX que manipulam as configurações do plugin para minimizar o risco de exploração.