CVE-2025-1970: podatność SSRF w wtyczce Import Export WordPress Users

Co wiadomo

Wtyczka Export and Import Users and Customers dla WordPress do wersji 2.6.2 włącznie zawiera podatność Server-Side Request Forgery (SSRF) w funkcji validate_file(). Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami administratora wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Podatność SSRF może pozwolić atakującym na dostęp i modyfikację danych wewnętrznych usług, co stwarza ryzyko wycieku informacji lub naruszenia integralności systemów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich środowisk WordPress, zwłaszcza jeśli wtyczka jest aktywna i dostępna dla użytkowników z uprawnieniami administratora.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji importu i eksportu użytkowników tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference