CVE-2025-13891: Luka Path Traversal w wtyczce Image Gallery – Photo Grid & Video Gallery dla WordPress

Co wiadomo

Wtyczka Image Gallery – Photo Grid & Video Gallery dla WordPress do wersji 2.13.3 posiada lukę Path Traversal w endpointzie AJAX modula_list_folders, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Author i wyższymi na przeglądanie dowolnych katalogów na serwerze. Luka wynika z braku odpowiedniej walidacji ścieżek i ograniczeń katalogu bazowego.

Wpływ biznesowy

Atakujący z uprawnieniami Author lub wyższymi mogą wykorzystać tę lukę do uzyskania dostępu do plików i katalogów spoza dozwolonych obszarów, co może prowadzić do wycieku wrażliwych danych lub dalszej eskalacji uprawnień. W środowiskach WordPress z wieloma użytkownikami i różnymi poziomami dostępu ryzyko jest szczególnie istotne, zwłaszcza gdy wtyczka jest aktywna i nieaktualna.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Image Gallery – Photo Grid & Video Gallery i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do wtyczki tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanej aktywności związanej z endpointem modula_list_folders. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference