CVE-2025-12582: Luka w wtyczce Features dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Features dla WordPress do wersji 0.0.2 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w punkcie AJAX 'features_revert_option'. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym na przywracanie opcji w witrynie.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą nieautoryzowanie modyfikować ustawienia witryny, co może prowadzić do niezamierzonych zmian w konfiguracji i potencjalnych problemów z funkcjonowaniem strony. Dla operatorów IT i właścicieli infrastruktury oznacza to konieczność zweryfikowania uprawnień użytkowników oraz monitorowania zmian w konfiguracji WordPressa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Features i ich instalację. W przypadku braku dostępnej poprawki należy ograniczyć dostęp użytkowników do poziomu subskrybenta oraz wyżej, monitorować logi aktywności i rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ryzyka poprzez kontrolę uprawnień i regularne audyty bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference