Analityczne wykorzystywanie plików cookies
CVE-2025-12038: Folderly dla WordPress umożliwia nieautoryzowaną modyfikację danych
Luka w wtyczce Folderly dla WordPress pozwala użytkownikom z uprawnieniami autora na usunięcie wszystkich danych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 7.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Folderly dla WordPress ma lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez niewystarczającą weryfikację uprawnień w endpointzie REST API /wp-json/folderly/v1/config/clear-all-data. Atakujący z uprawnieniami co najmniej na poziomie autora mogą usunąć wszystkie dane, takie jak terminy i kategorie.
Wpływ biznesowy
Luka ta może prowadzić do utraty ważnych danych w systemie CMS, co wpływa na integralność i dostępność treści. Operatorzy IT powinni być świadomi ryzyka nieautoryzowanego usuwania danych przez użytkowników z uprawnieniami autora i wyższymi, co może zakłócić działanie serwisu i wymagać przywracania danych z kopii zapasowych.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Folderly i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do wtyczki tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z endpointem /wp-json/folderly/v1/config/clear-all-data. Warto również rozważyć audyt uprawnień użytkowników w WordPressie i ograniczyć je do niezbędnego minimum.