CVE-2025-12980: Luka w wtyczce Post Grid Gutenberg Blocks umożliwia nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Post Grid Gutenberg Blocks for News, Magazines, Blog Websites – PostX dla WordPressa do wersji 5.0.3 zawiera lukę pozwalającą na nieautoryzowany dostęp do danych poprzez brak weryfikacji uprawnień na endpointzie REST API '/ultp/v2/get_dynamic_content/'. Atakujący mogą uzyskać wrażliwe metadane użytkowników, w tym hashe haseł.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa danych użytkowników, umożliwiając atakującym pozyskanie poufnych informacji, co może prowadzić do naruszenia prywatności i dalszych ataków na system. Operatorzy IT i właściciele infrastruktury powinni traktować tę podatność jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję oraz ryzyko wycieku danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PostX i jej instalację. W przypadku braku natychmiastowej łatki, należy ograniczyć dostęp do endpointu '/ultp/v2/get_dynamic_content/' oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień i wzmocnić zabezpieczenia serwisu WordPress.

Źródła

• NVD
• Reference
• Reference