CVE-2025-8889: luka w wtyczce Compress & Upload dla WordPress

Co wiadomo

Wtyczka Compress & Upload dla WordPress w wersjach przed 1.0.5 nieprawidłowo weryfikuje przesyłane pliki, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przesyłanie dowolnych plików na serwer, nawet jeśli w konfiguracji multisite powinno to być zablokowane.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego przesyłania plików na serwer, co zwiększa ryzyko wprowadzenia złośliwego oprogramowania lub naruszenia integralności systemu. W środowiskach multisite, gdzie kontrola nad przesyłaniem plików powinna być restrykcyjna, podatność ta może osłabić bezpieczeństwo całej platformy WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Compress & Upload do wersji 1.0.5 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi serwera pod kątem podejrzanych aktywności związanych z przesyłaniem plików. Dodatkowo należy zweryfikować konfigurację multisite, aby zapewnić odpowiednie ograniczenia dostępu.

Źródła

• NVD
• Reference