CVE-2025-1326: luka w motywie Homey dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Motyw Homey dla WordPress do wersji 2.4.4 włącznie zawiera lukę, która pozwala użytkownikom z uprawnieniami subskrybenta i wyższymi na usuwanie dowolnych rezerwacji i wpisów bez odpowiedniej weryfikacji uprawnień. Luka wynika z braku sprawdzenia uprawnień w funkcji homey_reservation_del().

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą usunąć ważne dane, takie jak rezerwacje i wpisy, co może prowadzić do zakłóceń w działaniu serwisu i utraty zaufania użytkowników. Właściciele stron korzystających z motywu Homey powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli umożliwiają rejestrację użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Homey u dostawcy favethemes i ich wdrożenie. W międzyczasie warto ograniczyć możliwość rejestracji nowych użytkowników lub podnieść wymagane uprawnienia do usuwania rezerwacji. Należy również monitorować logi pod kątem nieautoryzowanych prób usunięcia danych i odpowiednio reagować.

Źródła

• NVD
• Reference
• Reference