CVE-2025-12778: Nieautoryzowany dostęp do danych w wtyczce Ultimate Member Widgets for Elementor

Co wiadomo

Wtyczka Ultimate Member Widgets for Elementor dla WordPress posiada lukę umożliwiającą nieautoryzowany dostęp do częściowych danych użytkowników, takich jak imię, nazwisko i adres e-mail. Luka wynika z braku odpowiedniej weryfikacji uprawnień w funkcji handle_filter_users we wszystkich wersjach do 2.3 włącznie.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą uzyskać dostęp do wrażliwych danych użytkowników WordPress, co może prowadzić do naruszenia prywatności i potencjalnych dalszych ataków socjotechnicznych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych osobowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Member Widgets for Elementor i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do funkcji filtrowania użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja i minimalizacja ekspozycji danych użytkowników.

Źródła

• NVD
• Reference
• Reference