CVE-2025-13109: Luka Insecure Direct Object Reference w wtyczce HUSKY – Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka HUSKY – Products Filter Professional dla WooCommerce w wersjach do 1.3.7.2 włącznie zawiera lukę Insecure Direct Object Reference w funkcjach woof_add_query i woof_remove_query. Brak odpowiedniej walidacji klucza kontrolowanego przez użytkownika umożliwia atakującym z uprawnieniami subskrybenta lub wyższymi manipulowanie zapisanymi zapytaniami wyszukiwania w profilach innych użytkowników, w tym administratorów.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać lub usuwać dowolne zapisane zapytania wyszukiwania w profilach użytkowników, co może prowadzić do nieautoryzowanych zmian w konfiguracji i potencjalnie ułatwić dalsze ataki. Może to wpłynąć na integralność danych i stabilność działania sklepu opartego na WooCommerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp do kont z uprawnieniami subskrybenta i wyższymi, monitorować logi pod kątem nietypowych zmian w profilach użytkowników oraz przeprowadzić audyt bezpieczeństwa konfiguracji WooCommerce.

Źródła

• NVD
• Reference
• Reference