Analityczne wykorzystywanie plików cookies
CVE-2025-10039: luka w wtyczce wsdesk dla WordPress
Luka CVE-2025-10039 w wtyczce wsdesk pozwala uwierzytelnionym użytkownikom odczytać wszystkie zgłoszenia wsparcia. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 20.37%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wsdesk
Co wiadomo
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System (wsdesk) do wersji 3.2.9 zawiera lukę typu Insecure Direct Object Reference (IDOR) w funkcji 'eh_crm_ticket_single_view_client'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi na odczytanie wszystkich zgłoszeń wsparcia.
Wpływ biznesowy
Luka umożliwia nieautoryzowany dostęp do danych zgłoszeń wsparcia, co może prowadzić do wycieku poufnych informacji klientów i osłabienia zaufania do firmy. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wsdesk u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do minimalnego niezbędnego poziomu oraz monitorować logi pod kątem nietypowych prób dostępu do zgłoszeń wsparcia. Priorytetowo należy ocenić ekspozycję systemu i wprowadzić dodatkowe mechanizmy kontroli dostępu.