CVE-2025-13725: Gutenberg Thim Blocks – podatność na odczyt dowolnych plików

Co wiadomo

Wtyczka Gutenberg Thim Blocks – Page Builder dla WordPress do wersji 1.0.1 włącznie posiada lukę pozwalającą na odczyt dowolnych plików na serwerze. Luka wynika z niewystarczającej walidacji ścieżek w renderowaniu po stronie serwera bloku thim-blocks/icon, umożliwiając atakującym z uprawnieniami co najmniej Contributor dostęp do poufnych plików, takich jak wp-config.php.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać tę lukę do odczytu wrażliwych plików konfiguracyjnych i innych danych na serwerze, co może prowadzić do ujawnienia poufnych informacji i dalszych ataków na infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako poważne zagrożenie dla bezpieczeństwa danych i integralności systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Gutenberg Thim Blocks i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i weryfikację konfiguracji serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference