CVE-2025-13794: Luka wtyczki Auto Featured Image dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Auto Featured Image (Auto Post Thumbnail) dla WordPress do wersji 4.2.1 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji bulk_action_generate_handler. Pozwala to użytkownikom z uprawnieniami na poziomie Współpracownika i wyższymi na usuwanie lub generowanie wyróżnionych obrazów w postach, których nie są właścicielami.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych zmian w zawartości witryny, co może wpłynąć na integralność i wiarygodność publikowanych treści. Administratorzy stron WordPress korzystających z tej wtyczki powinni być świadomi ryzyka manipulacji obrazami wyróżniającymi, co może wpłynąć na odbiór i profesjonalizm serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Auto Featured Image i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Współpracownik lub monitorować logi pod kątem podejrzanych działań związanych z modyfikacją obrazów wyróżniających. Warto również rozważyć tymczasowe wyłączenie funkcji masowego generowania obrazów.

Źródła

• NVD
• Reference
• Reference
• Reference