CVE-2025-12023: luka w wtyczce wsdesk umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System (wsdesk) do WordPressa zawiera lukę, która pozwala na nieautoryzowaną modyfikację danych poprzez brak odpowiedniej weryfikacji uprawnień w funkcji eh_crm_restore_data(). Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą przywracać zgłoszenia.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego przywracania zgłoszeń w systemie wsparcia klienta, co może zakłócić obsługę klienta i narazić firmę na ryzyko manipulacji danymi. Operatorzy IT powinni zwrócić uwagę na potencjalne nadużycia uprawnień użytkowników oraz ryzyko związane z dostępem do systemu ticketowego.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wsdesk u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi systemowe pod kątem nieautoryzowanych działań oraz przeprowadzić przegląd i priorytetyzację ryzyka związanego z tą luką.

Źródła

• NVD
• Reference
• Reference