CVE-2025-13149: Błąd autoryzacji w wtyczce PublishPress Future dla WordPress

Co wiadomo

Wtyczka Schedule Post Changes With PublishPress Future dla WordPress do wersji 4.9.1 posiada lukę umożliwiającą nieautoryzowaną modyfikację danych. Atakujący z uprawnieniami autora lub wyższymi mogą zmieniać statusy dowolnych postów i stron poprzez REST API.

Wpływ biznesowy

Luka pozwala na nieautoryzowaną zmianę statusów treści w systemie CMS, co może prowadzić do niezamierzonych publikacji, usunięć lub innych zmian w zawartości strony. Może to wpłynąć na integralność i wiarygodność publikowanych informacji oraz zakłócić działanie witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PublishPress Future i jej instalację. W przypadku braku łatki, ogranicz dostęp do REST API tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych zmian oraz priorytetyzuj działania zabezpieczające w oparciu o ryzyko.

Źródła

• NVD
• Reference
• Reference