CVE-2025-11519: Optymalizacja obrazów wtyczki WordPress narażona na nieautoryzowany dostęp do mediów

Co wiadomo

Wtyczka Optimole do WordPressa (wersje do 4.1.0 włącznie) posiada lukę typu Insecure Direct Object Reference w endpointzie REST API /wp-json/optml/v1/move_image. Umożliwia to użytkownikom z uprawnieniami autora i wyższymi nieautoryzowane przenoszenie mediów należących do innych użytkowników.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp i manipulację zasobami multimedialnymi w serwisie WordPress, co może prowadzić do naruszenia integralności danych i potencjalnych problemów z zarządzaniem treścią. Atakujący z uprawnieniami autora mogą wykorzystać tę podatność do przenoszenia plików, co może wpłynąć na działanie witryny i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Optimole i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do REST API do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek CMS.

Źródła

• NVD
• Reference
• Reference
• Reference