Mail Mint dla WordPressa podatny na przesyłanie dowolnych plików (CVE-2025-11967)

Co wiadomo

Wtyczka Mail Mint dla WordPressa do wersji 1.18.10 włącznie ma lukę umożliwiającą uwierzytelnionym administratorom przesyłanie dowolnych plików na serwer. Brak walidacji typu pliku w funkcji process_contact_attribute_import może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad stroną i infrastrukturą. Może to skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem bezpieczeństwa całego środowiska IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Mail Mint i ich wdrożenie. W przypadku braku łat, ograniczyć dostęp administratorów, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji importu kontaktów. Priorytetowo traktować audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference