CVE-2025-13660: Ujawnianie adresów e-mail użytkowników w wtyczce Guest Support dla WordPress

Co wiadomo

Wtyczka Guest Support dla WordPress w wersjach do 1.2.3 włącznie posiada lukę umożliwiającą nieautoryzowane ujawnianie adresów e-mail użytkowników. Luka wynika z publicznego punktu końcowego AJAX, który pozwala na wyszukiwanie i pobieranie adresów e-mail bez żadnej autoryzacji.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą zidentyfikować konta użytkowników i pozyskać ich adresy e-mail, co może prowadzić do zwiększonego ryzyka phishingu i innych ataków socjotechnicznych. Operatorzy stron korzystających z tej wtyczki powinni rozważyć wpływ na prywatność użytkowników oraz potencjalne naruszenia danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Guest Support i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do punktu AJAX, monitorować logi pod kątem podejrzanych zapytań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków minimalizujących ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference