CVE-2025-13092: Devs CRM dla WordPress narażony na nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Devs CRM dla WordPress do zarządzania zadaniami i zespołami posiada lukę pozwalającą na nieautoryzowany dostęp do prywatnych danych użytkowników poprzez brak odpowiedniej kontroli uprawnień w REST API. Luka dotyczy wszystkich wersji do 1.1.8 włącznie i umożliwia pobranie m.in. skrótów haseł.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko wycieku wrażliwych danych użytkowników, co może prowadzić do naruszenia prywatności i potencjalnych ataków na konta. Narażone są systemy korzystające z podatnej wersji wtyczki, co wymaga pilnej oceny i działań zabezpieczających.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Devs CRM i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanych żądań oraz przeprowadzić audyt uprawnień. Priorytetowo traktować systemy z narażonymi wersjami wtyczki.

Źródła

• NVD
• Reference
• Reference