CVE-2025-12971: Luka w wtyczce WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Folders – Unlimited Folders to Organize Media Library Folder, Pages, Posts, File Manager dla WordPress do wersji 3.1.5 ma lukę pozwalającą użytkownikom z uprawnieniami Contributor i wyższymi na przenoszenie zawartości folderów bez odpowiedniej autoryzacji. Problem wynika z błędnej weryfikacji uprawnień w funkcji 'wcp_change_post_folder'.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą nieautoryzowanie modyfikować strukturę folderów, co może prowadzić do dezorganizacji danych i potencjalnych problemów z zarządzaniem treścią. Może to wpłynąć na integralność i porządek danych w systemie WordPress, zwiększając ryzyko błędów operacyjnych i utrudniając zarządzanie zasobami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nietypowych operacji na folderach oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference