CVE-2025-11879: Luka w wtyczce GenerateBlocks dla WordPress umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka GenerateBlocks dla WordPress do wersji 2.1.1 posiada lukę umożliwiającą użytkownikom z uprawnieniami co najmniej współpracownika odczyt dowolnych opcji WordPress, w tym wrażliwych danych jak dane SMTP czy klucze API. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji 'get_option_rest'.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika mogą uzyskać dostęp do poufnych informacji przechowywanych w opcjach WordPress, co może prowadzić do wycieku danych uwierzytelniających i kluczy API. Może to skutkować naruszeniem bezpieczeństwa aplikacji i dalszymi atakami na infrastrukturę IT. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GenerateBlocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współpracownik oraz monitorować logi pod kątem nieautoryzowanych prób dostępu. Warto również przeprowadzić przegląd przechowywanych danych w opcjach WordPress i rozważyć ich dodatkowe zabezpieczenie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference