Analityczne wykorzystywanie plików cookies
CVE-2025-10040: WP Import – Ultimate CSV XML Importer dla WordPress umożliwia nieautoryzowany dostęp do danych
Wtyczka WP Import dla WordPress ma lukę umożliwiającą dostęp do danych FTP/SFTP przez użytkowników z uprawnieniami subskrybenta i wyższymi. Zalecane aktualizacje i monitorowanie.
- CVSS
- 7.7 HIGH
- EPSS
- 18.34%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Import – Ultimate CSV XML Importer dla WordPress do wersji 7.27 włącznie posiada lukę pozwalającą na nieautoryzowany dostęp do danych. Luka wynika z braku odpowiedniej weryfikacji uprawnień przy akcji AJAX 'get_ftp_details', co umożliwia użytkownikom z uprawnieniami subskrybenta lub wyższymi pobranie skonfigurowanych danych SFTP/FTP.
Wpływ biznesowy
Atakujący z kontem o minimalnych uprawnieniach (subskrybent lub wyższe) mogą uzyskać dostęp do poufnych danych uwierzytelniających SFTP/FTP, co stwarza ryzyko dalszych ataków na infrastrukturę serwera. Może to prowadzić do naruszenia integralności i poufności danych oraz potencjalnych szkód finansowych i reputacyjnych dla organizacji korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu WordPress tylko do zaufanych użytkowników, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć audyt uprawnień użytkowników. Priorytetowo traktuj aktualizacje zabezpieczeń i monitoruj środowisko pod kątem nietypowych zachowań.