Analityczne wykorzystywanie plików cookies
CVE-2025-10054: luka w wtyczce wsdesk dla WordPress
Luka w wtyczce wsdesk do WordPress umożliwia usunięcie ról administratorów przez użytkowników z uprawnieniami subskrybenta i wyższymi.
- CVSS
- 4.3 MEDIUM
- EPSS
- 20.11%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wsdesk
Co wiadomo
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System (wsdesk) do wersji 3.3.1 ma lukę umożliwiającą nieautoryzowaną modyfikację danych. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą usunąć role i uprawnienia użytkowników z rolami Administratora, WSDesk Supervisor lub WSDesk Agent.
Wpływ biznesowy
Luka pozwala na eskalację uprawnień i potencjalne przejęcie kontroli nad kontami o wysokich uprawnieniach w systemie WordPress. Może to prowadzić do nieautoryzowanych zmian w konfiguracji i danych, co zagraża integralności i bezpieczeństwu środowiska IT. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki wsdesk u dostawcy i ich wdrożenie. W międzyczasie ograniczyć dostęp użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań związanych z modyfikacją ról użytkowników. Warto także przeprowadzić przegląd uprawnień użytkowników i usunąć niepotrzebne konta lub role.