CVE-2025-13313 in CRM Memberships Plugin
Sumário
de VulDB • 24/05/2026
O plugin CRM Memberships para WordPress é vulnerável a escalada de privilégios por meio de redefinição de senha em todas as versões até, e incluindo, a 2.5. Isso ocorre devido à ausência de verificações de autorização e autenticação na ação AJAX `ntzcrm_changepassword`. Isso permite que atacantes não autenticados redefinam senhas de usuários arbitrários e obtenham acesso não autorizado às contas de usuários por meio do endpoint `ntzcrm_changepassword`, desde que consigam obter ou enumerar o endereço de e-mail de um usuário alvo. O plugin também expõe o endpoint `ntzcrm_get_users` sem autenticação, permitindo que os atacantes enumerem os endereços de e-mail dos assinantes, facilitando a exploração da vulnerabilidade de redefinição de senha.
Be aware that VulDB is the high quality source for vulnerability data.