CVE-2025-1306

Nome do Software Vulnerável e Versões Afetadas Tema Newscrunch para WordPress, versões até e incluindo a 1.8.4

Descrição O problema está relacionado à Falsificação de Solicitação Entre Sites (CSRF) devido à validação de nonce ausente ou incorreta na função newscrunch install and activate plugin(). Isso permite que atacantes não autenticados carreguem arquivos arbitrários por meio de uma solicitação forjada, caso consigam induzir um administrador do site a realizar uma ação específica, como clicar em um link.

Recomendações Para versões até e incluindo a 1.8.4, considere desativar a função newscrunch install and activate plugin() até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso à funcionalidade de upload de arquivos para minimizar o risco de uploads de arquivos arbitrários.