Analityczne wykorzystywanie plików cookies
CVE-2025-13950: Luka wtyczki OneSignal do WordPress umożliwia nieautoryzowaną modyfikację danych
Luka w wtyczce OneSignal do WordPress pozwala na nieautoryzowaną zmianę ustawień powiadomień. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.3 MEDIUM
- EPSS
- 22.77%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka OneSignal – Web Push Notifications dla WordPress do wersji 3.6.1 włącznie posiada lukę pozwalającą na nieautoryzowaną modyfikację ustawień. Brak weryfikacji uprawnień i nonce przy obsłudze żądań POST umożliwia atakującym nadpisanie kluczy i zachowań powiadomień.
Wpływ biznesowy
Luka może prowadzić do przejęcia kontroli nad konfiguracją powiadomień push, co zagraża integralności i wiarygodności komunikacji z użytkownikami. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, gdyż umożliwia ona ataki bez uwierzytelnienia, potencjalnie wpływając na doświadczenie użytkowników i reputację marki.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki OneSignal i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych żądań POST oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt uprawnień użytkowników i wzmocnić mechanizmy uwierzytelniania.