CVE-2025-12427

Nome do Software Vulnerável e Versões Afetadas Versões do plugin YITH WooCommerce Wishlist anteriores à 4.10.1

Descrição O plugin YITH WooCommerce Wishlist para WordPress possui um problema relacionado à falta de validação em chaves controladas pelo usuário, levando a uma Referência Direta a Objetos Insegura. Isso permite que atacantes não autenticados descubram o ID do token da lista de desejos de um usuário via endpoint da API REST e handler AJAX. A exploração permite que atacantes renomeiem a lista de desejos de uma vítima sem autorização, potencialmente levando a defacement, ataques de engenharia social, manipulação em massa e profiling. O endpoint da API REST e o handler AJAX estão envolvidos nesta questão. A chave vulnerável é o ID do token da lista de desejos.

Recomendações Atualize o plugin YITH WooCommerce Wishlist para a versão 4.10.1 ou posterior.