CVE-2025-12085: luka w wtyczce wsdesk dla WordPress

Co wiadomo

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System (wsdesk) do wersji 3.3.1 ma lukę umożliwiającą nieautoryzowaną modyfikację danych. Brak odpowiedniej weryfikacji uprawnień w funkcji 'eh_crm_settings_empty_trash' pozwala użytkownikom z poziomem Subskrybenta i wyższym na opróżnienie kosza z ticketami.

Wpływ biznesowy

Atakujący z kontem o minimalnych uprawnieniach mogą usunąć zgłoszenia z kosza, co może prowadzić do utraty ważnych danych i zakłóceń w obsłudze klienta. W środowiskach, gdzie zarządzanie zgłoszeniami jest krytyczne, luka ta może obniżyć efektywność i wiarygodność systemu wsparcia.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wsdesk u dostawcy i ich wdrożenie. Do czasu aktualizacji warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem nietypowych działań związanych z opróżnianiem kosza ticketów. Warto również rozważyć audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference