CVE-2025-13681: Luka Path Traversal w wtyczce BFG Tools – Extension Zipper dla WordPress

Co wiadomo

Wtyczka BFG Tools – Extension Zipper dla WordPress do wersji 1.0.7 posiada lukę Path Traversal, która pozwala uwierzytelnionym administratorom na odczyt plików poza katalogiem wtyczek. Luka wynika z niewystarczającej walidacji parametru first_file w funkcji zip().

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do odczytu poufnych plików, takich jak wp-config.php, co może prowadzić do ujawnienia danych konfiguracyjnych i potencjalnie dalszych ataków na infrastrukturę WordPress. Wpływa to na bezpieczeństwo danych i integralność systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administratora oraz monitorować logi pod kątem podejrzanych działań. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference