CVE-2025-49380: WooCommerce Vehicle Parts Finder da wpinstinct: Injeção de Objeto por Desserialização
A CVE-2025-49380 é uma falha crítica de desserialização de dados não confiáveis (CWE-502) no plugin WooCommerce Vehicle Parts Finder, da wpinstinct, que permite injeção de objeto. A CNA atribuiu nota 9.8 pelo CVSS 3.1, e a descrição abrange versões de n/a até 3.7. O registro não indica inclusão no catálogo KEV nem versão corrigida, então os administradores devem verificar o status do plugin e reduzir a exposição.
Visão geral
O registro descreve uma fraqueza de desserialização de dados não confiáveis (CWE-502) no plugin WooCommerce Vehicle Parts Finder, da wpinstinct, identificada como CVE-2025-49380. Segundo a descrição, a falha permite injeção de objeto. A origem do registro é a CNA audit@patchstack.com.
Impacto
- A CNA atribuiu pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alcance pela rede, baixa complexidade, ausência de privilégios e nenhuma interação do usuário.
- Falhas de injeção de objeto podem levar a comportamento não pretendido da aplicação. As consequências específicas neste plugin não são descritas no registro.
Produtos e versões afetados
- Produto: WooCommerce Vehicle Parts Finder (woo-vehicle-parts-finder), da wpinstinct.
- Intervalo afetado segundo a descrição: de n/a até 3.7 (inclusive).
- A lista estruturada de afetados no registro está vazia, portanto o intervalo vem apenas do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. Os dados de EPSS do registro são uma probabilidade estimada e não confirmam atividade observada.
Correção e mitigação
- O registro não informa versão corrigida. A ausência desse dado não prova que não exista correção, então verifique com o fornecedor ou no repositório do plugin se há atualizações.
- Se não houver versão corrigida disponível e o plugin não for essencial, considere desativá-lo ou removê-lo.
- Restrinja quem pode acessar funções administrativas e do plugin, e mantenha WordPress, WooCommerce e demais componentes atualizados.
- Um firewall de aplicação web pode servir como camada genérica temporária enquanto uma correção é avaliada, mas não deve ser tratado como solução completa.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao plugin.
- Monitore alterações inesperadas nos arquivos do plugin, contas administrativas desconhecidas e tarefas agendadas não esperadas.
- Faça o inventário de todos os sites com o plugin instalado e registre a versão de cada um.
Limitações das informações disponíveis
- O registro não tem título, lista estruturada de versões afetadas ou corrigidas, nem detalhes além da pontuação da CNA.
- O status da fonte está registrado como Deferred. A única referência do registro é a entrada da base de dados da Patchstack, além das páginas do NVD e do CVE.org.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação, então os valores de EPSS devem ser interpretados com cautela.
Perguntas frequentes
O que é a CVE-2025-49380?
É uma fraqueza de desserialização de dados não confiáveis (CWE-502) no plugin WooCommerce Vehicle Parts Finder, da wpinstinct, que permite injeção de objeto, conforme descrito no registro.
Quais versões são afetadas?
A descrição indica intervalo de n/a até 3.7. A lista estruturada de afetados no registro está vazia, então confirme diretamente a versão instalada.
Há exploração conhecida?
A CVE não está listada no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Verifique com o fornecedor se há atualização. Se não houver correção e o plugin não for essencial, considere desativá-lo, reduzir o acesso às suas funções e monitorar os logs.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.