CVE-2025-15524: Nieautoryzowany dostęp do danych w wtyczce Gallery by FooGallery dla WordPress

Co wiadomo

Wtyczka Gallery by FooGallery dla WordPress do wersji 3.1.9 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym dostęp do metadanych prywatnych, roboczych i chronionych hasłem galerii poprzez brak odpowiedniej weryfikacji uprawnień w funkcji ajax_get_gallery_info().

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do informacji takich jak nazwa galerii, liczba obrazów oraz adres miniatury, co może prowadzić do wycieku danych i naruszenia prywatności. Operatorzy stron opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z ujawnianiem poufnych danych galerii, szczególnie w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Gallery by FooGallery i jej instalację. W przypadku braku dostępnej poprawki, ograniczenie dostępu do panelu administracyjnego, przegląd logów pod kątem podejrzanych zapytań oraz ograniczenie liczby użytkowników z uprawnieniami Subskrybenta i wyższymi do niezbędnego minimum. Monitorowanie i audytowanie dostępu do galerii również jest wskazane.

Źródła

• NVD
• Reference
• Reference