CVE-2025-4798: luka w wp-downloadmanager umożliwiająca odczyt dowolnych plików

Co wiadomo

Wtyczka WP-DownloadManager dla WordPressa do wersji 1.68.10 włącznie posiada lukę pozwalającą administratorom na pobieranie i odczyt dowolnych plików na serwerze. Problem wynika z braku ograniczeń dotyczących katalogu przechowywania plików do pobrania.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą uzyskać dostęp do poufnych plików systemowych i konfiguracyjnych, co może prowadzić do wycieku danych lub dalszej eskalacji uprawnień. W środowiskach produkcyjnych taka luka zwiększa ryzyko naruszenia integralności i poufności danych oraz stabilności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wp-downloadmanager i ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem nietypowych działań związanych z pobieraniem plików. Przegląd konfiguracji katalogów do pobierania i wprowadzenie restrykcji również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference