CVE-2025-4473: Luka w wtyczce Frontend Dashboard dla WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka Frontend Dashboard dla WordPress w wersjach 1.0 do 2.2.7 posiada lukę w funkcji ajax_request(), która nie sprawdza odpowiednich uprawnień. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na przechwycenie e-maili resetujących hasło poprzez przekierowanie SMTP na własny serwer.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przechwycenia wiadomości e-mail z linkami do resetowania haseł administratorów, co umożliwia eskalację uprawnień i pełne przejęcie kontroli nad stroną. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz zakłóceń w działaniu serwisu internetowego.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Frontend Dashboard i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj przegląd i zabezpieczenie serwerów SMTP oraz uwierzytelnianie e-maili.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference