CVE-2025-13866: Luka w wtyczce Flow-Flow Social Feed Stream dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Flow-Flow Social Feed Stream dla WordPress w wersjach 3.0.0 do 4.7.5 posiada lukę pozwalającą na modyfikację ustawień przez użytkowników z uprawnieniami subskrybenta i wyższymi. Brak odpowiedniej weryfikacji uprawnień w akcji AJAX flow_flow_social_auth umożliwia wstrzyknięcie dowolnego kodu JavaScript, który wykonuje się podczas przeglądania strony ustawień wtyczki.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą zmieniać konfigurację wtyczki i wstrzykiwać złośliwy kod JavaScript, co może prowadzić do naruszenia integralności danych i potencjalnego przejęcia kontroli nad funkcjami witryny. Może to wpłynąć na bezpieczeństwo i reputację firmy, zwłaszcza jeśli witryna obsługuje użytkowników lub klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference
• Reference