CVE-2025-0952: Błąd w motywie Eco Nature WordPress umożliwiający modyfikację danych i DoS

Co wiadomo

Motyw Eco Nature - Environment & Ecology dla WordPress do wersji 2.0.4 zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami Subskrybenta i wyższymi nieautoryzowaną modyfikację opcji witryny poprzez brak kontroli uprawnień w akcji AJAX 'cmsmasters_hide_admin_notice'. Może to prowadzić do błędów i odmowy usługi (DoS).

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą zmieniać ustawienia witryny, co może skutkować błędami powodującymi niedostępność serwisu dla użytkowników lub niepożądanym włączeniem funkcji, takich jak rejestracja. Może to wpłynąć na stabilność i dostępność strony, co jest istotne dla właścicieli i operatorów infrastruktury WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Eco Nature i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem nietypowych zmian opcji. Należy również rozważyć ograniczenie dostępu do akcji AJAX 'cmsmasters_hide_admin_notice' oraz priorytetyzować wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference