CVE-2025-15516: Luka w wtyczce All-in-One Video Gallery dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka All-in-One Video Gallery dla WordPress w wersjach 4.1.0 do 4.6.4 posiada lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na modyfikację własnych danych meta bez odpowiedniej weryfikacji uprawnień. Luka wynika z braku sprawdzenia uprawnień w funkcji ajax_callback_store_user_meta().

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą zmieniać własne dane meta, co może prowadzić do nieautoryzowanych zmian w profilu użytkownika i potencjalnie wpływać na funkcjonalność serwisu. Może to osłabić integralność danych użytkowników i utrudnić zarządzanie kontami w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki All-in-One Video Gallery i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych zmian w danych użytkowników. Warto również rozważyć czasowe wyłączenie wtyczki, jeśli jest to możliwe.

Źródła

• NVD
• Reference
• Reference