CVE-2025-12449: aBlocks – WordPress Gutenberg Blocks narażony na nieautoryzowaną modyfikację i wyciek danych

Co wiadomo

Wtyczka aBlocks – WordPress Gutenberg Blocks do WordPressa w wersjach do 2.4.0 włącznie posiada lukę umożliwiającą nieautoryzowaną modyfikację danych oraz wyciek wrażliwych informacji. Atakujący z poziomem subskrybenta lub wyższym mogą odczytać ustawienia wtyczki, takie jak widoczność bloków, konfigurację trybu konserwacji oraz klucze API do usług marketingu e-mail.

Wpływ biznesowy

Luka pozwala na dostęp do poufnych danych konfiguracyjnych i kluczy API, co może prowadzić do naruszenia prywatności, nieautoryzowanych zmian w działaniu witryny oraz potencjalnych ataków na zintegrowane usługi marketingowe. Operatorzy IT powinni traktować tę podatność jako istotne ryzyko dla bezpieczeństwa aplikacji i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki aBlocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt uprawnień użytkowników. Priorytetowo należy zabezpieczyć klucze API i rozważyć ich rotację.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference