CVE-2025-9539: AutomatorWP – Automator narażony na nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka AutomatorWP – Automator dla WordPress do automatyzacji bez kodu posiada lukę umożliwiającą nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w funkcji importu automatyzacji z URL. Atakujący z poziomem subskrybenta mogą tworzyć dowolne automatyzacje, co może prowadzić do wykonania zdalnego kodu lub eskalacji uprawnień po aktywacji przez administratora.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 8.0) pozwala na potencjalne przejęcie kontroli nad systemem WordPress poprzez złośliwe automatyzacje. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym eskalacją uprawnień i wykonaniem zdalnego kodu, co zagraża integralności i dostępności infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki AutomatorWP i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji importu automatyzacji, przejrzeć logi pod kątem podejrzanych działań oraz wprowadzić dodatkowe kontrole dostępu. Priorytetowo traktuj monitorowanie i audyt uprawnień użytkowników z poziomem subskrybenta i wyższym.

Źródła

• NVD
• Reference
• Reference