CVE-2025-13812: Luka w wtyczce GamiPress dla WordPress umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka GamiPress do WordPressa posiada lukę pozwalającą użytkownikom z poziomem subskrybenta i wyższym na dostęp do danych innych użytkowników, w tym adresów e-mail oraz tytułów prywatnych wpisów. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcjach gamipress_ajax_get_posts i gamipress_ajax_get_users we wszystkich wersjach do 7.6.1 włącznie.

Wpływ biznesowy

Dzięki tej luce atakujący z podstawowymi uprawnieniami mogą uzyskać dostęp do prywatnych informacji użytkowników i treści, co może prowadzić do naruszenia prywatności oraz wykorzystania danych w dalszych atakach socjotechnicznych. Właściciele stron opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko wycieku danych i podjąć działania ograniczające ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GamiPress i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, warto ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nietypowych zapytań do funkcji AJAX. Dodatkowo należy przeprowadzić przegląd uprawnień i rozważyć tymczasowe wyłączenie funkcji narażonych na atak.

Źródła

• NVD
• Reference
• Reference