CVE-2025-12174: Luka w wtyczce Directorist dla WordPress umożliwiająca nieautoryzowany dostęp

Co wiadomo

Wtyczka Directorist: AI-Powered Business Directory Plugin z funkcją ogłoszeń do WordPressa posiada lukę pozwalającą na nieautoryzowany dostęp poprzez brak odpowiedniej weryfikacji uprawnień w akcjach AJAX 'directorist_prepare_listings_export_file' oraz 'directorist_type_slug_change' do wersji 8.5.2 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą eksportować szczegóły ogłoszeń oraz zmieniać slug katalogu.

Wpływ biznesowy

Luka umożliwia osobom z ograniczonymi uprawnieniami w systemie WordPress wykradanie danych ogłoszeń oraz modyfikację kluczowych parametrów katalogu, co może prowadzić do naruszenia prywatności danych oraz destabilizacji działania serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Directorist u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi serwera pod kątem podejrzanych działań związanych z eksportem danych i zmianą slugów. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe zabezpieczenia kontroli dostępu.

Źródła

• NVD
• Reference
• Reference