CVE-2025-0763: Luka w Ultimate Classified Listings WordPress Plugin umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Ultimate Classified Listings dla WordPressa do wersji 1.7 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji save_custom_fields. Pozwala to uwierzytelnionym użytkownikom z poziomem dostępu Subscriber i wyższym na modyfikację niestandardowych pól wtyczki.

Wpływ biznesowy

Atakujący z kontem o minimalnych uprawnieniach mogą zmieniać dane wtyczki, co może prowadzić do nieautoryzowanych zmian w zawartości serwisu. Może to wpłynąć na integralność danych i zaufanie użytkowników, a także potencjalnie umożliwić dalsze ataki na infrastrukturę WordPressa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Classified Listings i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu wyższego niż Subscriber lub monitorować logi pod kątem nieautoryzowanych zmian. Warto również przeprowadzić audyt uprawnień użytkowników i zminimalizować ryzyko nieautoryzowanych modyfikacji.

Źródła

• NVD
• Reference
• Reference