Luka wtyczki Ninja Tables umożliwiająca wstrzyknięcie obiektu PHP (CVE-2025-2939)

Co wiadomo

Wtyczka Ninja Tables dla WordPress do wersji 5.0.18 jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych w parametrze args[callback]. Atakujący bez uwierzytelnienia mogą wywołać pojedyncze funkcje PHP, co ogranicza zakres potencjalnych szkód.

Wpływ biznesowy

Podatność może pozwolić nieautoryzowanym osobom na wykonanie wybranych funkcji PHP na serwerze, co może prowadzić do nieoczekiwanych zachowań aplikacji lub ujawnienia informacji. Choć możliwość wywołania funkcji jest ograniczona, nadal stanowi ryzyko dla integralności i stabilności środowiska WordPress, zwłaszcza w przypadku publicznie dostępnych instalacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ninja Tables u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanych wywołań oraz rozważyć zastosowanie mechanizmów zapobiegających deserializacji niezaufanych danych. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference