CVE-2025-12165: Webcake WordPress Plugin umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Webcake – Landing Page Builder dla WordPressa posiada lukę pozwalającą na modyfikację ustawień bez odpowiednich uprawnień. Luka dotyczy wszystkich wersji do 1.1 włącznie i umożliwia użytkownikom z poziomem Subskrybenta lub wyższym zmianę konfiguracji poprzez brak kontroli uprawnień na endpointzie AJAX 'webcake_save_config'.

Wpływ biznesowy

Atakujący z kontem o niskich uprawnieniach mogą zmienić ustawienia wtyczki, co może prowadzić do niepożądanych zmian w działaniu strony lub potencjalnego wykorzystania do dalszych ataków. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z nieautoryzowanymi modyfikacjami konfiguracji, które mogą wpłynąć na stabilność i bezpieczeństwo serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Webcake i ich instalację. W przypadku braku łatki, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z endpointem 'webcake_save_config'. Priorytetowo traktuj aktualizacje i przegląd uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference