SK-CERT Bezpečnostné varovanie V20250130-05

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	10.0

Identifikátor

Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností

Popis

Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je päť označených ako kritických. Najzávažnejšia kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-0357 sa nachádza vo WP plugine WPBookit, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorených súborov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu používateľa.

Dátum prvého zverejnenia varovania

30.1.2025

CVE

CVE-2025-0357 , CVE-2024-13448 , CVE-2024-11135, CVE-2024-13742, CVE-2024-12822, CVE-2024-12749, CVE-2024-13521, CVE-2024-12334, CVE-2024-13594, CVE-2025-24659, CVE-2024-12321, CVE-2025-24587, CVE-2025-24663 , CVE-2025-24672, CVE-2025-24669 , CVE-2025-24683, CVE-2024-10633, CVE-2024-10628, CVE-2024-10574, CVE-2024-11641, CVE-2024-11936, CVE-2024-13453, CVE-2025-23976 , CVE-2024-12076, CVE-2024-12600, CVE-2025-0682, CVE-2025-23978, CVE-2025-23980, CVE-2024-13509, CVE-2024-12269, CVE-2025-0861, CVE-2024-13706, CVE-2024-13562, CVE-2024-13467, CVE-2024-13117, CVE-2024-13095, CVE-2024-13094, CVE-2024-13057, CVE-2024-13052, CVE-2024-12773, CVE-2024-12723, CVE-2024-13509, CVE-2024-13696, CVE-2024-12400, CVE-2025-0860, CVE-2024-12638, CVE-2024-10591, CVE-2024-13671, CVE-2024-13646, CVE-2024-12821, CVE-2024-12129, CVE-2024-11600, CVE-2024-13694

IOC

–

Zasiahnuté systémy

Altra Side Menu vo verzii staršej ako 2.0 (vrátane) Borderless vo verzii staršej ako 1.5.9 Bulk Me Now! vo verzii staršej ako 2.0 (vrátane) Competition Form vo všetkých verziách (ukončená podpora) Contact Form & SMTP Plugin vo verzii staršej ako 2.6.1 Custom Product Tabs Lite for WooCommerce vo verzii staršej ako 1.9.1 Dental Optimizer Patient Generator App vo všetkých verziách (ukončená podpora) Dyn Business Panel vo všetkých verziách (ukončená podpora) Email Subscription Popup vo verzii staršej ako 1.2.24 Eventer vo verzii staršej ako 3.9.9 FlashCounter vo verzii staršej ako 1.1.8 (vrátane) Flexible Wishlist for WooCommerce vo verzii staršej ako 1.2.26 Form Builder CP vo verzii staršej ako 1.2.42 Full Circle vo všetkých verziách (ukončená podpora) iControlWP vo verzii staršej ako 4.4.5 (vrátane) Import WP vo verzii staršej ako 2.14.6 Infility Global vo verzii staršej ako 2.9.9 Issuu Panel vo verzii staršej ako 2.1.1 (vrátane) MailUp Auto Subscription vo verzii staršej ako 1.2.0 Media Manager for UserPro vo verzii staršej ako 3.12.0 Music Sheet Viewer vo všetkých verziách (ukončená podpora) MWB HubSpot for WooCommerce vo verzii staršej ako 1.5.9 (vrátane) Premium Packages vo verzii staršej ako 5.9.7 Quiz Maker Agency vo verzii staršej ako 31.8.0.100 Quiz Maker Business vo verzii staršej ako 8.8.0.100 Quiz Maker Developer vo verzii staršej ako 21.8.0.100 Royal Core vo verzii staršej ako 2.9.2 RSVP and Event Management Plugin vo verzii staršej ako 2.7.15 Safe Ai Malware Protection for WP vo verzii staršej ako 1.0.17 (vrátane) SERPed.net vo verzii staršej ako 4.6 Simple Download Monitor vo verzii staršej ako 3.9.26 Simple Downloads List vo verzii staršej ako 1.4.3 Single-user-chat vo všetkých verziách (ukončená podpora) Social Share Buttons for WordPress vo verzii staršej ako 2.7 (vrátane) Target Video Easy Publish vo verzii staršej ako 3.8.4 ThemeREX Addons vo verzii staršej ako 2.34.0 Tourmaster vo verzii staršej ako 5.3.5 VikBooking Hotel Booking Engine & PMS vo verzii staršej ako 1.7.3 VR-Frases vo všetkých verziách (ukončená podpora) WC Affiliate vo verzii staršej ako 2.5 WooCommerce Wishlist vo verzii staršej ako 1.8.8 WP Contact Form7 Email Spam Blocker vo verzii staršej ako 1.0.0 (vrátane) WP Image Uploader vo všetkých verziách (ukončená podpora) WP Triggers Lite vo všetkých verziách (ukončená podpora) WPBookit vo verzii staršej ako 1.6.10 WS Form LITE vo verzii staršej ako 1.10.14 Zox News vo verzii staršej ako 3.17.0

Následky

Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať, – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať, – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať, – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností, – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.

Zdroje

https://patchstack.com/database/wordpress/plugin/wpbookit/vulnerability/wordpress-wpbookit-plugin-1-6-9-unauthenticated-arbitrary-file-upload-vulnerability https://patchstack.com/database/wordpress/plugin/trx_addons/vulnerability/wordpress-themerex-addons-plugin-2-32-3-unauthenticated-arbitrary-file-upload-in-trx-addons-uploads-save-data-vulnerability https://patchstack.com/database/wordpress/plugin/eventer/vulnerability/wordpress-eventer-plugin-3-9-8-unauthenticated-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/worpit-admin-dashboard-plugin/vulnerability/wordpress-icontrolwp-multiple-wordpress-site-manager-plugin-4-4-5-unauthenticated-php-object-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/userpro-mediamanager/media-manager-for-userpro-3120-missing-authorization-to-unauthenticated-arbitrary-options-update https://patchstack.com/database/wordpress/plugin/competition-form/vulnerability/wordpress-competition-form-plugin-2-0-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/mailup-auto-subscribtion/vulnerability/wordpress-mailup-auto-subscription-plugin-1-1-0-cross-site-request-forgery-to-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/wc-affiliate/vulnerability/wordpress-wc-affiliate-plugin-2-4-reflected-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/simple-downloads-list/vulnerability/wordpress-simple-downloads-list-plugin-1-4-2-authenticated-contributor-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wpdm-premium-packages/vulnerability/wordpress-premium-packages-sell-digital-products-securely-plugin-5-9-6-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wc-affiliate/vulnerability/wordpress-wc-affiliate-plugin-2-4-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/email-subscribe/vulnerability/wordpress-email-subscription-popup-plugin-1-2-23-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/simple-download-monitor/vulnerability/wordpress-simple-download-monitor-plugin-3-9-25-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/cp-easy-form-builder/vulnerability/wordpress-form-builder-cp-plugin-1-2-41-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/serped-net/vulnerability/wordpress-serped-net-plugin-4-4-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/rsvp/vulnerability/wordpress-rsvp-and-event-management-plugin-2-7-14-sql-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/detail/quiz-maker-business-developer-and-agency-multiple-versions-unauthenticated-arbitrary-shortcode-execution-via-content https://www.wordfence.com/threat-intel/vulnerabilities/detail/quiz-maker-business-developer-and-agency-multiple-versions-unauthenticated-sql-injection-via-id https://www.wordfence.com/threat-intel/vulnerabilities/detail/quiz-maker-business-developer-and-agency-multiple-versions-missing-authorization-to-google-sheets-integration-credentials-modification-and-stored-cross-site-scripting https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/vikbooking/vikbooking-hotel-booking-engine-pms-172-cross-site-request-forgery-to-authenticated-subscriber-arbitrary-file-upload https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/zox-news/zox-news-3160-missing-authorization-to-authenticated-subscriber-arbitrary-options-update https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/pirate-forms/contact-form-smtp-plugin-for-wordpress-by-pirateforms-260-unauthenticated-arbitrary-shortcode-execution https://patchstack.com/database/wordpress/plugin/issuu-panel/vulnerability/wordpress-issuu-panel-plugin-2-1-1-csrf-to-stored-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/brid-video-easy-publish/vulnerability/wordpress-target-video-easy-publish-plugin-3-8-3-cross-site-request-forgery-to-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/woocommerce-custom-product-tabs-lite/vulnerability/wordpress-custom-product-tabs-lite-for-woocommerce-plugin-1-9-0-authenticated-shop-manager-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/trx_addons/vulnerability/wordpress-themerex-addons-plugin-2-33-0-authenticated-contributor-local-file-inclusion-via-shortcode-vulnerability https://patchstack.com/database/wordpress/plugin/flashcounter/vulnerability/wordpress-flashcounter-plugin-1-1-8-csrf-to-stored-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/full-circle/vulnerability/wordpress-full-circle-plugin-0-5-7-8-csrf-to-stored-cross-site-scripting-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ws-form/ws-form-lite-drag-drop-contact-form-builder-for-wordpress-11013-unauthenticated-stored-cross-site-scripting https://patchstack.com/database/wordpress/plugin/safe-ai-malware-protection-for-wp/vulnerability/wordpress-safe-ai-malware-protection-for-wp-plugin-1-0-17-missing-authorization-to-unauthenticated-database-export-vulnerability https://patchstack.com/database/wordpress/plugin/vr-frases/vulnerability/wordpress-vr-frases-collect-share-quotes-plugin-3-0-1-authenticated-admin-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wp-image-uploader/vulnerability/wordpress-wp-image-uploader-plugin-1-0-1-reflected-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/jc-importer/vulnerability/wordpress-import-wp-export-and-import-csv-and-xml-files-to-wordpress-plugin-2-14-5-unauthenticated-sensitive-information-exposure-through-unprotected-directory-vulnerability https://patchstack.com/database/wordpress/plugin/wp-contact-form7-email-spam-blocker/vulnerability/wordpress-wp-contact-form7-email-spam-blocker-plugin-1-0-0-reflected-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/share-buttons/vulnerability/wordpress-social-share-buttons-for-wordpress-plugin-2-7-unauthenticated-image-upload-path-traversal-vulnerability https://patchstack.com/database/wordpress/plugin/wp-triggers-lite/vulnerability/wordpress-wp-triggers-lite-plugin-2-5-3-admin-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/dyn-business-panel/vulnerability/wordpress-dyn-business-panel-plugin-1-0-0-stored-xss-via-csrf-vulnerability https://patchstack.com/database/wordpress/plugin/dental-optimizer-patient-generator-app/vulnerability/wordpress-dental-optimizer-patient-generator-app-plugin-1-0-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/altra-side-menu/vulnerability/wordpress-altra-side-menu-plugin-2-0-admin-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/infility-global/vulnerability/wordpress-infility-global-plugin-2-9-9-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/ws-form/vulnerability/wordpress-ws-form-lite-plugin-1-10-13-unauthenticated-stored-cross-site-scripting-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/flexible-wishlist/flexible-wishlist-for-woocommerce-1225-unauthenticated-stored-cross-site-scripting-via-wishlist-name-parameter https://patchstack.com/database/wordpress/plugin/tourmaster/vulnerability/wordpress-tourmaster-plugin-5-3-5-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/vr-frases/vulnerability/wordpress-vr-frases-collect-share-quotes-plugin-3-0-1-reflected-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/bulk-me-now/vulnerability/wordpress-bulk-me-now-plugin-2-0-reflected-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/makewebbetter-hubspot-for-woocommerce/mwb-hubspot-for-woocommerce-crm-abandoned-cart-email-marketing-marketing-automation-analytics-159-missing-authorization-to-authenticated-contributor-arbitrary-options-update https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/music-sheet-viewer/music-sheet-viewer-41-unauthenticated-arbitrary-file-read https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/single-user-chat/single-user-chat-05-authenticated-subscriber-limited-options-update https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/userpro-mediamanager/media-manager-for-userpro-3120-missing-authorization-to-authenticated-subscriber-arbitrary-options-update https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/royal-core/royal-core-292-authenticated-subscriber-arbitrary-options-update https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/borderless/borderless-widgets-elements-templates-and-toolkit-for-elementor-gutenberg-159-authenticated-administrator-remote-code-execution https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/smart-wishlist-for-more-convert/woocommerce-wishlist-187-unauthenticated-wishlist-disclosure-via-download-pdf-file-function

« Späť na zoznam