CVE-2025-14864: Ujawnienie wrażliwych informacji w wtyczce Virusdie dla WordPress

Co wiadomo

Wtyczka Virusdie - One-click website security dla WordPress w wersjach do 1.1.7 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym dostęp do klucza API Virusdie. Luka wynika z braku odpowiednich kontroli uprawnień w funkcji vd_get_apikey, co może prowadzić do naruszenia bezpieczeństwa strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą pozyskać klucz API Virusdie, co pozwala na dostęp do konta właściciela strony w serwisie Virusdie. Może to skutkować dalszymi atakami na infrastrukturę strony, narażając ją na potencjalne kompromitacje i utratę danych. Organizacje powinny traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Virusdie i ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami Subskrybenta i wyższymi oraz monitorować logi pod kątem podejrzanych działań związanych z wywołaniami AJAX. Warto również przejrzeć uprawnienia użytkowników i rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe, do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference