CVE-2025-4302: Уразливість обходу блокування переліку користувачів у плагіні Stop User Enumeration для WordPress

Що відомо

Плагін Stop User Enumeration для WordPress версій до 1.7.3 блокує запити до REST API /wp-json/wp/v2/users/ для неавторизованих користувачів, але цей захист можна обійти шляхом URL-кодування шляху API. Це дозволяє потенційно отримати перелік користувачів без належних прав.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують цей плагін, існує ризик розкриття інформації про користувачів, що може сприяти подальшим атакам, таким як фішинг або підбір паролів. Уразливість має середній рівень серйозності (CVSS 5.3), тому її слід враховувати при оцінці безпеки інфраструктури.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Stop User Enumeration до останньої версії, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ до REST API, переглянути журнали доступу на предмет підозрілої активності та застосувати загальні заходи зменшення експозиції сервісу.

Джерела

• NVD
• Reference