CVE-2025-10732: Ujawnienie wrażliwych danych w wtyczce SureForms dla WordPress

Co wiadomo

Wtyczka SureForms – Drag and Drop Form Builder dla WordPress w wersjach do 1.12.1 włącznie posiada lukę umożliwiającą ujawnienie wrażliwych informacji. Luka wynika z niewłaściwej kontroli dostępu do endpointu REST API '/wp-json/sureforms/v1/srfm-global-settings', co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na pobranie kluczy API i innych poufnych danych.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą uzyskać dostęp do kluczy API Google reCAPTCHA, Cloudflare Turnstile, hCaptcha, adresów e-mail administratorów oraz ustawień bezpieczeństwa formularzy. Może to prowadzić do nadużyć usług zabezpieczających i potencjalnego naruszenia prywatności użytkowników oraz obniżenia bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SureForms i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, przejrzeć logi pod kątem podejrzanej aktywności oraz zweryfikować i zresetować klucze API, jeśli to możliwe. Priorytetowo traktuj monitorowanie i zabezpieczenie endpointu REST API.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference