CVE-2025-12648

Nome do Software Vulnerável e Versões Afetadas WP-Members Membership Plugin for WordPress versões até e incluindo 3.5.4.4

Descrição O plugin WP-Members Membership Plugin para WordPress armazena arquivos enviados por usuários em diretórios previsíveis (wp-content/uploads/wpmembers/user files/<user id>/) sem controles de acesso suficientes. Isso permite que atacantes não autenticados acessem e baixem diretamente documentos sensíveis enviados por usuários do site, adivinhando ou enumerando os user ids e nomes de arquivos. A proteção básica contra listagem de diretórios (.htaccess com Options -Indexes) é insuficiente para impedir o acesso.

Recomendações Versões anteriores a 3.5.4.4 devem ser atualizadas.