Plataforma
wordpress
Componente
evergreen-post-tweeter
Corrigido em
1.8.10
Uma vulnerabilidade de Cross-Site Request Forgery (CSRF) com potencial para Cross-Site Scripting (XSS) armazenado foi descoberta no plugin Evergreen Post Tweeter. Essa falha permite que um atacante execute scripts maliciosos em um contexto de usuário autenticado, comprometendo a integridade e confidencialidade dos dados. As versões afetadas são de 0 até 1.8.9. A correção foi publicada em 2025-12-24.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute código JavaScript arbitrário no navegador de outros usuários que visitam um site vulnerável. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, modificação do conteúdo do site e, potencialmente, acesso não autorizado a dados confidenciais. O ataque CSRF, combinado com o XSS armazenado, amplia significativamente o impacto, pois o atacante pode induzir um usuário autenticado a executar ações sem o seu conhecimento, como alterar configurações ou publicar conteúdo malicioso.
A vulnerabilidade foi divulgada em 2025-12-24. Não há informações disponíveis sobre a existência de Proof-of-Concepts (PoCs) públicos ou campanhas de exploração ativas no momento da publicação. A vulnerabilidade foi adicionada ao KEV (Know Exploited Vulnerabilities) catalog, indicando um risco potencial de exploração. A pontuação CVSS de 7.1 (ALTO) reflete a seriedade da vulnerabilidade e a facilidade de exploração.
Websites using the Evergreen Post Tweeter plugin, particularly those with user accounts or sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r "evergreen-post-tweeter" /var/www/html/wp-content/plugins/
wp plugin list | grep evergreen-post-tweeter• generic web:
curl -I https://example.com/ | grep -i 'x-frame-options'disclosure
Status do Exploit
EPSS
0.02% (percentil 6%)
CISA SSVC
Vetor CVSS
A mitigação imediata envolve a atualização do plugin Evergreen Post Tweeter para a versão corrigida, assim que disponível. Enquanto aguarda a atualização, implemente medidas de proteção CSRF, como a validação de tokens CSRF em todas as requisições que modificam o estado do aplicativo. Utilize um Web Application Firewall (WAF) com regras para bloquear requisições CSRF suspeitas. Além disso, revise as configurações de permissões do plugin para garantir que apenas usuários autorizados possam realizar ações críticas. Após a atualização, confirme a correção verificando se as requisições que antes eram vulneráveis agora estão protegidas contra ataques CSRF.
Nenhum patch conhecido disponível. Por favor, revise os detalhes da vulnerabilidade em profundidade e implemente mitigações com base na tolerância ao risco da sua organização. Pode ser melhor desinstalar o software afetado e encontrar um substituto.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-67622 is a Cross-Site Scripting (XSS) vulnerability in the Evergreen Post Tweeter WordPress plugin, allowing attackers to inject malicious scripts.
You are affected if you are using Evergreen Post Tweeter versions 0 through 1.8.9. Upgrade as soon as a patch is available.
Upgrade to the latest version of the Evergreen Post Tweeter plugin once a patch is released by the vendor. Until then, consider temporary workarounds like input validation.
Active exploitation is not yet confirmed, but the public disclosure increases the risk. Monitor your website for suspicious activity.
Check the Evergreen Post Tweeter plugin's official website or WordPress plugin repository for updates and security advisories.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.