CVE-2025-11692: Luka w wtyczce Zip Attachments dla WordPress umożliwia nieautoryzowane usuwanie plików

Co wiadomo

Wtyczka Zip Attachments dla WordPress do wersji 1.6 włącznie posiada lukę polegającą na braku odpowiednich kontroli uprawnień w pliku download.php. Pozwala to nieautoryzowanym atakującym na usunięcie dowolnych plików z katalogu wp_upload_dir.

Wpływ biznesowy

Luka ta może prowadzić do utraty danych i zakłóceń w działaniu serwisu internetowego opartego na WordPress, co wpływa na dostępność i integralność zasobów. Atakujący bez uwierzytelnienia mogą usunąć ważne pliki przesłane przez użytkowników lub system, co może skutkować przerwami w działaniu i koniecznością przywracania danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zip Attachments i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do katalogu wp_upload_dir oraz monitorować logi serwera pod kątem podejrzanych działań. Należy również przeprowadzić przegląd uprawnień i rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference