CVE-2025-11773: Luka w wtyczce TokenICO dla WordPress umożliwia modyfikację danych

Co wiadomo

Wtyczka TokenICO dla WordPress (do wersji 2.4.7 włącznie) ma lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na nieautoryzowaną modyfikację opcji WordPress dotyczącej adresów smart kontraktów. Brak odpowiedniej kontroli uprawnień w funkcji 'saveDeployedContract' umożliwia nadpisanie danych wyświetlanych w interfejsie.

Wpływ biznesowy

Atakujący z minimalnym dostępem mogą zmienić adresy smart kontraktów wyświetlane przez wtyczkę, co może prowadzić do wyświetlania fałszywych informacji i potencjalnych oszustw związanych z tokenami i ICO. Może to wpłynąć na zaufanie użytkowników oraz bezpieczeństwo operacji finansowych realizowanych za pomocą strony WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TokenICO i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu wyższego niż Subskrybent lub wyłączyć wtyczkę do czasu usunięcia luki. Dodatkowo warto monitorować logi systemowe pod kątem podejrzanych zmian w opcjach WordPress oraz przeprowadzić audyt bezpieczeństwa strony.

Źródła

• NVD
• Reference
• Reference
• Reference