CVE-2025-12408: Ujawnienie informacji w wtyczce Events Manager dla WordPress

Co wiadomo

Wtyczka Events Manager – Calendar, Bookings, Tickets dla WordPress do wersji 7.2.2.2 zawiera lukę umożliwiającą nieautoryzowanym atakującym dostęp do danych lokalizacji wydarzeń chronionych hasłem, prywatnych lub w wersji roboczej poprzez akcję 'get_location'.

Wpływ biznesowy

Luka pozwala na wyciek poufnych informacji o lokalizacjach wydarzeń, co może prowadzić do naruszenia prywatności i utraty zaufania użytkowników. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko wycieku danych i potencjalne konsekwencje dla reputacji oraz zgodności z przepisami o ochronie danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji po 7.2.2.2, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji 'get_location', przejrzeć logi pod kątem podejrzanej aktywności oraz zmniejszyć ekspozycję danych lokalizacji poprzez odpowiednie ustawienia prywatności. Priorytetowo traktuj przegląd i wdrożenie poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference