Analityczne wykorzystywanie plików cookies
CVE-2025-12014: NGINX Cache Optimizer dla WordPress umożliwia nieautoryzowaną modyfikację danych
Luka w NGINX Cache Optimizer pozwala użytkownikom z uprawnieniami subskrybenta modyfikować ustawienia cache. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 8.66%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka NGINX Cache Optimizer dla WordPress do wersji 1.1 włącznie posiada lukę pozwalającą na modyfikację ustawień przez użytkowników z uprawnieniami subskrybenta i wyższymi. Brak odpowiedniej weryfikacji uprawnień w akcji AJAX 'nginxcacheoptimizer-blacklist-update' umożliwia dodawanie adresów URL do listy wykluczeń z dynamicznego cache.
Wpływ biznesowy
Luka może prowadzić do nieautoryzowanego wpływu na mechanizmy cache'owania stron, co może obniżyć wydajność serwisu lub umożliwić obejście mechanizmów optymalizacji. Atakujący z niskim poziomem uprawnień mogą zmieniać konfigurację cache, co może wpłynąć na doświadczenie użytkowników oraz obciążenie infrastruktury.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NGINX Cache Optimizer i ich zastosowanie. W przypadku braku łatki, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań związanych z akcją 'nginxcacheoptimizer-blacklist-update'. Priorytetyzuj aktualizacje i rozważ tymczasowe wyłączenie wtyczki, jeśli to możliwe.