CVE-2025-3101: Luka w Configurator Theme Core WordPress umożliwia eskalację uprawnień

Co wiadomo

Wtyczka Configurator Theme Core dla WordPress do wersji 1.4.7 włącznie posiada lukę pozwalającą na eskalację uprawnień. Błąd wynika z niewłaściwej walidacji pól meta użytkownika przed ich aktualizacją w bazie danych, co umożliwia atakującym z poziomem Subskrybenta lub wyższym uzyskanie uprawnień Administratora.

Wpływ biznesowy

Atakujący z kontem o niskich uprawnieniach mogą podnieść swoje uprawnienia do poziomu Administratora, co stwarza poważne ryzyko przejęcia kontroli nad witryną WordPress. Może to prowadzić do nieautoryzowanych zmian, instalacji złośliwego oprogramowania lub wycieku danych. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako krytyczną i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Configurator Theme Core i ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć audyt uprawnień użytkowników i wprowadzenie zasad minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference