CVE-2025-11174: Nieautoryzowany dostęp w wtyczce Document Library Lite dla WordPress

Co wiadomo

Wtyczka Document Library Lite dla WordPress w wersjach do 1.1.6 włącznie posiada lukę pozwalającą na nieautoryzowany dostęp do nieopublikowanych dokumentów. Luka wynika z braku weryfikacji uprawnień i nonce w akcjach AJAX, co umożliwia pobranie tytułów i treści dokumentów w wersjach roboczych lub oczekujących.

Wpływ biznesowy

Luka może prowadzić do wycieku poufnych informacji zawartych w nieopublikowanych dokumentach, co stanowi zagrożenie dla prywatności i bezpieczeństwa danych firmowych. Administratorzy stron korzystających z tej wtyczki powinni traktować to jako istotne ryzyko, zwłaszcza jeśli dokumenty zawierają wrażliwe dane lub informacje biznesowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Document Library Lite i ich wdrożenie. W przypadku braku aktualizacji warto ograniczyć dostęp do endpointów AJAX oraz monitorować logi pod kątem podejrzanych żądań. Dodatkowo należy przeprowadzić przegląd uprawnień i rozważyć tymczasowe wyłączenie wtyczki, jeśli nie jest krytyczna dla działania strony.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference