CVE-2025-13498: Luka wtyczki Download Manager dla WordPress umożliwiająca nieautoryzowany dostęp do chronionych mediów

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.3.32 włącznie posiada lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta i wyższymi nieautoryzowany dostęp do haseł i ustawień kontroli dostępu chronionych załączników multimedialnych. Luka wynika z braku odpowiednich kontroli autoryzacji w akcji AJAX 'wpdm_media_access'.

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą uzyskać dostęp do poufnych informacji dotyczących zabezpieczeń plików multimedialnych, co pozwala na obejście mechanizmów ochrony i pobieranie plików, które powinny być ograniczone. Może to prowadzić do wycieku chronionych danych i naruszenia polityk bezpieczeństwa firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Manager i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z pobieraniem plików multimedialnych. Priorytetowo traktuj przegląd i aktualizację uprawnień oraz zabezpieczeń wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference