CVE-2025-12583: Luka wtyczki Simple Downloads List dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Simple Downloads List dla WordPress do wersji 1.4.3 posiada lukę pozwalającą na modyfikację danych bez odpowiednich uprawnień poprzez brak sprawdzenia uprawnień na endpointzie AJAX 'wp_ajax_neofix_sdl_edit'. Atakujący z poziomem subskrybenta lub wyższym mogą zmieniać ustawienia wtyczki i wstrzykiwać złośliwe skrypty.

Wpływ biznesowy

Luka umożliwia osobom z ograniczonym dostępem do panelu WordPressa manipulowanie konfiguracją wtyczki oraz potencjalne wstrzyknięcie złośliwego kodu, co może prowadzić do naruszenia integralności strony i zagrożenia dla użytkowników. Operatorzy stron powinni traktować tę podatność jako istotne ryzyko dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple Downloads List i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference