CVE-2025-5282: luka w wtyczce WP Travel Engine umożliwiająca nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka WP Travel Engine – Tour Booking Plugin dla WordPressa posiada lukę umożliwiającą nieautoryzowanym atakującym usuwanie dowolnych wpisów z powodu braku odpowiedniej weryfikacji uprawnień w funkcji delete_package() we wszystkich wersjach do 6.5.1 włącznie.

Wpływ biznesowy

Luka ta może prowadzić do utraty danych i zakłóceń w działaniu serwisu internetowego korzystającego z tej wtyczki, co wpływa na dostępność i integralność informacji. Atakujący bez uwierzytelnienia mogą usuwać treści, co może skutkować przerwami w świadczeniu usług oraz utratą zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Travel Engine u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego WordPressa, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki minimalizujące ekspozycję.

Źródła

• NVD
• Reference
• Reference