Smart Slider 3 dla WordPress narażony na wyciek poufnych informacji (CVE-2026-12385)

Co wiadomo

Wtyczka Smart Slider 3 dla WordPress w wersjach do 3.5.1.37 umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej współautora dostęp do tytułów i fragmentów prywatnych, szkicowych oraz usuniętych postów innych użytkowników, w tym administratorów i redaktorów. Luka wynika z niewłaściwej obsługi parametru 'keyword' i wymaga posiadania tokena nonce dostępnego dla współautorów.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko nieautoryzowanego ujawnienia poufnych treści publikowanych na stronach WordPress, co może prowadzić do naruszenia prywatności i utraty zaufania użytkowników. Atakujący z dostępem na poziomie współautora mogą pozyskać dane, które powinny pozostać niedostępne, co wymaga podjęcia działań ograniczających ekspozycję i monitorowania systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Smart Slider 3 u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, zweryfikować i monitorować logi dostępu oraz rozważyć dodatkowe zabezpieczenia kontroli dostępu do panelu administracyjnego WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference