CVE-2025-11894: Luka w wtyczce Shelf Planner dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Shelf Planner dla WordPress do wersji 2.8.1 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w kilku punktach końcowych REST API. Pozwala to nieautoryzowanym atakującym na zmianę ustawień wtyczki, takich jak ServerKey i LicenseKey.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanych zmian w konfiguracji wtyczki Shelf Planner, co może wpłynąć na stabilność i bezpieczeństwo środowiska WordPress. Atakujący mogą zmienić klucz serwera i licencji, co może skutkować zakłóceniami w działaniu lub nadużyciami funkcji wtyczki. Operatorzy powinni traktować tę lukę jako średniego ryzyka i odpowiednio ją monitorować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shelf Planner u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API dla nieautoryzowanych użytkowników, przeglądać logi pod kątem podejrzanych działań oraz priorytetyzować działania zabezpieczające w oparciu o ryzyko biznesowe.

Źródła

• NVD
• Reference
• Reference