XStore | Tema WooCommerce Multiuso <= 9.5.4 - Inclusão de Arquivo Local Autenticado (Assinante+)

A vulnerabilidade LFI no XStore permite que um atacante autenticado, com acesso de Subscriber ou superior, inclua e execute arquivos PHP arbitrários no servidor. Isso significa que um atacante pode, por exemplo, carregar um arquivo PHP malicioso, incluí-lo através da função etajaxrequiredpluginspopup() e executá-lo, obtendo controle sobre o servidor. O impacto potencial é significativo, incluindo a exfiltração de dados sensíveis armazenados no servidor WordPress, a modificação de arquivos do sistema, a instalação de backdoors e, em última análise, o controle total do servidor. A possibilidade de execução de código arbitrário torna esta vulnerabilidade particularmente perigosa, similar a outras explorações de LFI que levaram a comprometimento total de servidores web.

Websites using the XStore WordPress theme, particularly those with file upload functionality enabled, are at risk. Shared hosting environments where users have limited control over server configurations are also particularly vulnerable, as they may be unaware of the outdated theme version or lack the ability to perform updates.

• wordpress / composer / npm:

grep -r 'et_ajax_required_plugins_popup()' /var/www/html/wp-content/themes/xstore/

• wordpress / composer / npm:

wp plugin list | grep xstore

• wordpress / composer / npm:

find /var/www/html/wp-content/uploads/ -name '*.php' -type f

1. 2025-10-15Disclosure

   disclosure

1. Reservado2025-10-14
2. Publicada2025-10-15
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária para a vulnerabilidade CVE-2025-11746 é atualizar o tema XStore para a versão 9.5.5 ou superior, que corrige a falha de Inclusão de Arquivo Local. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere restringir o acesso à função etajaxrequiredpluginspopup() através de um Web Application Firewall (WAF) ou proxy reverso, bloqueando requisições suspeitas. Além disso, revise as permissões de arquivos e diretórios no servidor WordPress para garantir que apenas os usuários necessários tenham acesso de escrita. Monitore os logs do servidor WordPress em busca de atividades suspeitas, como tentativas de inclusão de arquivos não autorizados. Após a atualização, confirme a correção verificando se a função etajaxrequiredpluginspopup() não permite mais a inclusão de arquivos arbitrários.