CVE-2025-13416: ProfileGrid WordPress - Nieautoryzowane zawieszanie użytkowników

Co wiadomo

Wtyczka ProfileGrid dla WordPressa do zarządzania profilami i grupami ma lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta lub wyższymi zawieszanie innych użytkowników, w tym administratorów, bez odpowiedniej weryfikacji uprawnień. Luka dotyczy funkcji pm_deactivate_user_from_group() we wszystkich wersjach do 5.9.7.2 włącznie.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą zakłócić działanie społeczności lub grup, zawieszając kluczowych użytkowników, co może prowadzić do utraty kontroli nad grupami i potencjalnych problemów operacyjnych. Może to wpłynąć na zarządzanie użytkownikami i bezpieczeństwo środowiska WordPress, zwłaszcza w organizacjach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ProfileGrid i ich instalację. W międzyczasie warto ograniczyć dostęp do funkcji AJAX pm_deactivate_user_from_group do zaufanych użytkowników oraz monitorować logi pod kątem nietypowych działań związanych z zawieszaniem użytkowników. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki ograniczające ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference