CVE-2025-13403: Modyfikacja ustawień śledzenia wtyczki Employee Spotlight w WordPress

Co wiadomo

Wtyczka Employee Spotlight – Team Member Showcase & Meet the Team dla WordPress ma lukę pozwalającą na nieautoryzowaną zmianę ustawień śledzenia przez funkcję employee_spotlight_check_optin(). Atakujący z uprawnieniami subskrybenta lub wyższymi mogą włączyć lub wyłączyć śledzenie.

Wpływ biznesowy

Luka umożliwia osobom z kontem subskrybenta lub wyższym modyfikację ustawień śledzenia bez odpowiedniej autoryzacji, co może prowadzić do naruszenia prywatności użytkowników i niezamierzonych zmian w konfiguracji witryny. Może to wpłynąć na zgodność z politykami prywatności i regulacjami dotyczącymi danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Employee Spotlight i jej instalację. W międzyczasie warto ograniczyć dostęp do kont o uprawnieniach subskrybenta i wyższych, monitorować logi pod kątem nietypowych zmian ustawień oraz przeprowadzić przegląd konfiguracji śledzenia w witrynie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference