CVE-2025-11758: Nieautoryzowany dostęp w wtyczce All in One Time Clock Lite dla WordPress

Co wiadomo

Wtyczka All in One Time Clock Lite do WordPressa w wersjach do 2.0.3 włącznie umożliwia nieautoryzowany dostęp przez brak odpowiednich kontroli uprawnień. Atakujący mogą tworzyć opublikowane strony, rejestrować zmiany z błędami integralności oraz pobierać raporty czasu pracy zawierające dane osobowe pracowników.

Wpływ biznesowy

Brak właściwej autoryzacji w wtyczce może prowadzić do wycieku danych osobowych oraz manipulacji treścią strony, co naraża organizacje na ryzyko naruszenia prywatności i utraty zaufania użytkowników. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji AJAX wtyczki, monitorować logi pod kątem nietypowej aktywności oraz przeprowadzić audyt uprawnień użytkowników. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference