CVE-2025-13741: Nieautoryzowany dostęp do danych w wtyczce PublishPress Future dla WordPress

Co wiadomo

Wtyczka Schedule Post Changes With PublishPress Future dla WordPress do wersji 4.9.2 ma lukę umożliwiającą nieautoryzowany dostęp do danych. Atakujący z uprawnieniami na poziomie Współpracownika mogą uzyskać dostęp do adresów e-mail użytkowników posiadających uprawnienia do edycji wpisów.

Wpływ biznesowy

Luka pozwala na wyciek adresów e-mail użytkowników z uprawnieniami edycji treści, co może prowadzić do naruszenia prywatności i ułatwić dalsze ataki socjotechniczne. Operatorzy stron WordPress korzystający z tej wtyczki powinni rozważyć ryzyko związane z nieautoryzowanym dostępem do danych użytkowników i podjąć odpowiednie działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PublishPress Future i jej instalację. W przypadku braku dostępnej poprawki, ograniczenie dostępu użytkowników do poziomu niższego niż Współpracownik oraz monitorowanie logów dostępu pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć ich do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference