CVE-2025-4302: luka w wtyczce Stop User Enumeration umożliwiająca obejście blokady REST API

Co wiadomo

Wtyczka Stop User Enumeration dla WordPressa w wersjach przed 1.7.3 blokuje żądania REST API /wp-json/wp/v2/users/ dla nieautoryzowanych użytkowników, jednak blokada ta może zostać obejścia poprzez zakodowanie URL ścieżki API. Luka ta może umożliwić nieuprawnione uzyskanie informacji o użytkownikach.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania listy użytkowników WordPressa, co ułatwia dalsze ataki, takie jak próby logowania czy phishing. Dla operatorów IT i właścicieli infrastruktury oznacza to zwiększone ryzyko naruszenia bezpieczeństwa kont i danych. Warto zweryfikować, czy wtyczka jest używana i odpowiednio zabezpieczona.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Stop User Enumeration do wersji 1.7.3 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, ogranicz dostęp do REST API dla nieautoryzowanych użytkowników oraz monitoruj logi pod kątem podejrzanych żądań. Przeprowadź przegląd uprawnień użytkowników i wzmocnij polityki bezpieczeństwa.

Źródła

• NVD
• Reference