Analityczne wykorzystywanie plików cookies
CVE-2025-3919: Luka w wtyczce WordPress Comments Import & Export umożliwiająca modyfikację danych
Wtyczka WordPress Comments Import & Export do 2.4.3 umożliwiała wstrzyknięcie skryptów przez użytkowników z dostępem subskrybenta. Zalecana aktualizacja do 2.4.4.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WordPress Comments Import & Export do WordPressa do wersji 2.4.3 zawierała lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak sprawdzenia uprawnień w funkcji save_settings oraz niewłaściwe filtrowanie parametrów FTP. Atakujący z poziomem subskrybenta lub wyższym mogli wstrzykiwać złośliwe skrypty, które wykonywały się przy dostępie administratora do strony ustawień wtyczki.
Wpływ biznesowy
Luka umożliwia atakującym z ograniczonymi uprawnieniami eskalację możliwości poprzez wstrzyknięcie i wykonanie złośliwych skryptów w kontekście administratora, co może prowadzić do przejęcia kontroli nad witryną lub wycieku danych. Operatorzy stron WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z tą wtyczką, zwłaszcza jeśli korzystają z wersji do 2.4.3 włącznie.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki WordPress Comments Import & Export do wersji 2.4.4 lub nowszej, w której luka została całkowicie załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do ustawień wtyczki oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd uprawnień użytkowników i ograniczyć dostęp do minimum niezbędnego.