CVE-2025-9693: Luka umożliwiająca usuwanie plików w wtyczce User Meta dla WordPress

Co wiadomo

Wtyczka User Meta – User Profile Builder i User management dla WordPress do wersji 3.1.2 zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym usuwanie dowolnych plików na serwerze. Luka wynika z niewystarczającej walidacji ścieżek plików w funkcji postInsertUserProcess, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą usunąć krytyczne pliki serwera, takie jak wp-config.php, co może skutkować poważnymi zakłóceniami działania serwisu oraz możliwością przejęcia kontroli nad serwerem. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki User Meta i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi serwera pod kątem podejrzanych działań. Dodatkowo warto rozważyć audyt uprawnień plików i katalogów na serwerze oraz przygotować plan szybkiego przywracania danych.

Źródła

• NVD
• Reference
• Reference