CVE-2025-13563: Lizza LMS Pro para WordPress - Escalonamento de Privilégios por Registro com Função Irrestrita
A vulnerabilidade CVE-2025-13563 afeta o plugin Lizza LMS Pro para WordPress em todas as versões até a 1.0.3, inclusive. A função de registro não limita quais funções de usuário podem ser escolhidas, o que pode permitir que um atacante não autenticado crie uma conta com privilégios de administrador. A CNA Wordfence classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2025-13563 é uma falha de escalonamento de privilégios no plugin Lizza LMS Pro para WordPress, classificada como CWE-269 (Gerenciamento Impróprio de Privilégios). Segundo o registro, a função de registro não restringe quais funções de usuário uma nova conta pode solicitar. A página do produto indicada é o tema Lizza LMS Education para WordPress no ThemeForest.
Impacto
- O registro afirma que um atacante não autenticado poderia obter acesso de administrador ao site afetado.
- O vetor CVSS 3.1 indica alcance pela rede, baixa complexidade de ataque, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto: plugin Lizza LMS Pro para WordPress.
- Versões: todas as versões até a 1.0.3, inclusive, conforme a descrição.
- Os campos estruturados de afetados e correções do registro estão vazios, portanto nenhuma versão corrigida é listada nas fontes consultadas.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas. A probabilidade EPSS é 0,0039, com percentil de 0,31295, o que é uma estimativa de modelo e não evidência de atividade observada.
Correção e mitigação
- Verifique se o plugin Lizza LMS Pro está instalado e qual versão está ativa em cada site WordPress.
- Como o registro não lista versão corrigida, consulte o fornecedor e o aviso da Wordfence para orientações atualizadas.
- Se o plugin não for essencial e nenhuma atualização do fornecedor for confirmada, considere desativá-lo ou removê-lo.
- Revise as configurações de registro público e as funções padrão atribuídas, para que novas contas não recebam papéis elevados.
Orientações de detecção
- Revise contas de usuário criadas recentemente e procure atribuições inesperadas do papel de administrador.
- Compare a lista atual de administradores com a equipe conhecida e investigue ou redefina credenciais de contas não reconhecidas.
- Monitore a atividade de registro quanto a volume ou padrões incomuns e revise os logs do servidor web e de autenticação no mesmo período.
Limitações das informações disponíveis
- O registro não possui título, dados estruturados de versões afetadas ou corrigidas e nenhuma referência de correção do fornecedor.
- As fontes não descrevem as condições exatas de exploração, por isso esta análise não as caracteriza.
- O registro mostra status de origem Deferred, portanto não está claro se há análise adicional pendente.
Perguntas frequentes
O que é a CVE-2025-13563?
É uma vulnerabilidade de escalonamento de privilégios no plugin Lizza LMS Pro para WordPress, que afeta todas as versões até a 1.0.3, inclusive. A função de registro não restringe quais funções de usuário podem ser atribuídas.
Esta vulnerabilidade está sendo explorada ativamente?
Esta CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas. A pontuação EPSS é uma estimativa de modelo, não evidência de exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.