CVE-2025-14156: ays-pro Fox LMS WordPress插件中的CWE-20输入验证不当漏洞

严重性： 高危 类型： 漏洞 CVE编号： CVE-2025-14156

Fox LMS – WordPress LMS 插件在所有版本（包括1.0.5.1及更早版本）中存在权限提升漏洞。此漏洞源于插件在通过/fox-lms/v1/payments/create-order REST API端点创建新用户时，未能正确验证role参数。这使得未经身份验证的攻击者能够创建具有任意角色（包括管理员）的新用户账户，从而导致网站被完全攻陷。

技术细节

数据版本： 5.2 分配者简称： Wordfence 预留日期： 2025-12-05T20:32:01.682Z Cvss版本： 3.1 状态： 已发布 威胁ID： 69401ef9d9bcdf3f3de12798 添加到数据库时间： 2025/12/15 下午2:45:13 最后更新时间： 2025/12/15 下午2:45:39

来源： CVE Database V5 发布日期： 2025年12月15日，星期一

相关信息

• 漏洞类型： CWE-20 输入验证不当
• 受影响的供应商/项目： ays-pro
• 受影响的产品： Fox LMS – WordPress LMS Plugin

相关威胁

• CVE-2025-14383： wpdevelop Booking Calendar插件中的CWE-89 SQL注入漏洞（高危）
• CVE-2025-14003： wpchill Image Gallery – Photo Grid & Video Gallery插件中的CWE-862 授权缺失漏洞（中危）
• CVE-2025-13950： onesignal OneSignal – Web Push Notifications插件中的CWE-862 授权缺失漏洞（中危）
• CVE-2025-13728： techjewel FluentAuth插件中的CWE-79 跨站脚本漏洞（中危）
• CVE-2025-13610： metagauss RegistrationMagic插件中的CWE-79 跨站脚本漏洞（中危）