SK-CERT Bezpečnostné varovanie V20250326-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.6

Identifikátor

Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností

Popis

Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú viaceré označené ako kritické. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-30615 sa nachádza v plugine WP e-Commerce Style Email, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom cross-site request forgery (CSRF) útoku získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme a spôsobiť zneprístupnenie služby. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby a vykonať škodlivý kód. Zneužitie viacerých zraniteľností vyžaduje interakciu zo strany používateľa.

Dátum prvého zverejnenia varovania

25.3.2025

CVE

CVE-2025-30584, CVE-2025-30612, CVE-2025-30525, CVE-2025-30523, CVE-2025-30522, CVE-2025-23667, CVE-2025-23638, CVE-2025-23707, CVE-2025-23704, CVE-2025-23705, CVE-2025-23680, CVE-2025-23666, CVE-2024-13690, CVE-2024-10638, CVE-2025-2635, CVE-2025-30577, CVE-2025-30578, CVE-2025-30583, CVE-2025-30586, CVE-2025-30587, CVE-2025-30608, CVE-2025-28882, CVE-2025-28880, CVE-2025-28877, CVE-2025-1971, CVE-2025-2186, CVE-2025-1446, CVE-2025-28934, CVE-2025-28935, CVE-2025-26544, CVE-2025-26546, CVE-2025-26560, CVE-2025-27267, CVE-2025-26874, CVE-2025-26573, CVE-2025-26575, CVE-2025-26541, CVE-2025-26542, CVE-2025-1970, CVE-2024-12109, CVE-2024-13863, CVE-2024-9770, CVE-2025-30590, CVE-2025-2319, CVE-2025-28939, CVE-2025-2303, CVE-2025-0724, CVE-2025-30528, CVE-2025-28942, CVE-2025-30615

IOC

–

Zasiahnuté systémy

WP e-Commerce Style Email vo verzii staršej ako (vrátane) 0.6.2 AlphaOmega Captcha & Anti-Spam Filter vo verzii staršej ako (vrátane) 3.3 Replace Default Words vo verzii staršej ako (vrátane) 1.3 WP Profitshare vo verzii staršej ako (vrátane) 1.4.9 Super Simple Subscriptions vo verzii staršej ako (vrátane) 1.1.0 Contact Form 7 Material Design vo verzii staršej ako (vrátane) 1.0.0 custom-post-edit vo verzii staršej ako 1.0.4 Frontend Post Submission vo verzii staršej ako (vrátane) 1.0 En Masse vo verzii staršej ako (vrátane) 1.0 Your Lightbox vo verzii staršej ako (vrátane) 1.0 Zielke Design Project Gallery vo verzii staršej ako (vrátane) 2.5.0 Narnoo Operator vo verzii staršej ako (vrátane) 2.0.0 Management-screen-droptiles vo verzii staršej ako (vrátane) 1.0 WP Church Donation vo verzii staršej ako (vrátane) 1.7 Product Labels For Woocommerce vo verzii staršej ako 1.5.11 Digital License Manager vo verzii staršej ako 1.7.4 Browser Address Bar Color vo verzii staršej ako (vrátane) 3.3 AdSense Privacy Policy vo verzii staršej ako (vrátane) 1.1.1 Pro Rank Tracker vo verzii staršej ako (vrátane) 1.0.0 cTabs vo verzii staršej ako (vrátane) 1.3 LH OGP Meta vo verzii staršej ako (vrátane) 1.73 WordPress SQL Backup vo verzii staršej ako (vrátane) 3.5.2 Omnify vo verzii staršej ako (vrátane) 2.0.3 Blue Captcha vo verzii staršej ako (vrátane) 1.7.4 Key4ce osTicket Bridge vo verzii staršej ako (vrátane) 1.4.0 Import Export WordPress Users vo verzii staršej ako 2.6.3 Automation By Autonami vo verzii staršej ako 3.5.2 Pods vo verzii staršej ako 3.2.8.2 Simple Post Series vo verzii staršej ako (vrátane) 2.4.4 Fancybox Plus vo verzii staršej ako (vrátane) 1.0.1 UTM tags tracking for Contact Form 7 vo verzii staršej ako (vrátane) 2.1 Cookies Pro vo verzii staršej ako (vrátane) 1.0 WP Contact Form III vo verzii staršej ako (vrátane) 1.6.2d Random Quotes vo verzii staršej ako (vrátane) 1.3 MemberSpace vo verzii staršej ako 2.1.14 Rizzi Guestbook vo verzii staršej ako (vrátane) 4.0.1 Display Post Meta vo verzii staršej ako (vrátane) 2.4.4 Bitcoin / AltCoin Payment Gateway for WooCommerce vo verzii staršej ako (vrátane) 1.7.6 Zalo Live Chat vo verzii staršej ako (vrátane) 1.1.0 Export and Import Users and Customers vo verzii staršej ako 2.6.3 Product Labels For Woocommerce vo verzii staršej ako 1.5.9 Stylish Google Sheet Reader vo verzii staršej ako 4.1 WP-Recall vo verzii staršej ako 16.26.12 Flickr set slideshows vo verzii staršej ako (vrátane) 0.9 EZ SQL Reports Shortcode Widget and DB Backup vo verziách 4.11.13 – 5.25.08 WP Google Calendar Manager vo verzii staršej ako (vrátane) 2.1 Block Logic – Full Gutenberg Block Display Control vo verzii staršej ako (vrátane) 1.0.8 ProfileGrid – User Profiles, Groups and Communities vo verzii staršej ako 5.9.4.6 Awesome Logos vo verzii staršej ako (vrátane) 1.2 Trust Payments Gateway for WooCommerce vo verzii staršej ako (vrátane) 1.1.4

Následky

Vykonanie škodlivého kódu Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.

Zdroje

https://patchstack.com/database/wordpress/plugin/wp-e-commerce-style-email/vulnerability/wordpress-wp-e-commerce-style-email-plugin-0-6-2-csrf-to-remote-code-execution-vulnerability https://patchstack.com/database/wordpress/plugin/wp-recall/vulnerability/wordpress-wp-recall-plugin-16-26-12-admin-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/alphaomega-captcha-anti-spam/vulnerability/wordpress-alphaomega-captcha-anti-spam-filter-plugin-3-3-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/replace-default-words/vulnerability/wordpress-replace-default-words-plugin-1-3-cross-site-request-forgery-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/cf7-material-design/vulnerability/wordpress-contact-form-7-material-design-plugin-1-0-0-csrf-to-stored-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-church-donation/wp-church-donation-17-unauthenticated-stored-cross-site-scripting https://patchstack.com/database/wordpress/plugin/zielke-design-project-gallery/vulnerability/wordpress-zielke-design-project-gallery-plugin-2-5-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/digital-license-manager/vulnerability/wordpress-digital-license-manager-plugin-1-7-3-reflected-cross-site-scripting-via-remove-query-arg-function-vulnerability https://patchstack.com/database/wordpress/plugin/frontend-post-submission/vulnerability/wordpress-frontend-post-submission-plugin-1-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/narnoo-shortcodes/vulnerability/wordpress-narnoo-operator-plugin-2-0-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/en-masse-wp/vulnerability/wordpress-en-masse-plugin-1-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/aco-product-labels-for-woocommerce/vulnerability/wordpress-product-labels-for-woocommerce-plugin-1-5-11-admin-sqli-vulnerability https://patchstack.com/database/wordpress/plugin/wp-profitshare/vulnerability/wordpress-wp-profitshare-plugin-1-4-9-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/cxc-sawa/vulnerability/wordpress-management-screen-droptiles-plugin-1-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/super-simple-subscriptions/vulnerability/wordpress-super-simple-subscriptions-plugin-1-1-0-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/browser-address-bar-color/vulnerability/wordpress-browser-address-bar-color-plugin-3-3-cross-site-request-forgery-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/adsense-privacy-policy/vulnerability/wordpress-adsense-privacy-policy-plugin-1-1-1-cross-site-request-forgery-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/wordpress-sql-backup/vulnerability/wordpress-wordpress-sql-backup-3-5-2-cross-site-request-forgery-csrf-vulnerability https://patchstack.com/database/wordpress/plugin/wp-marketing-automations/vulnerability/wordpress-automation-by-autonami-plugin-3-5-1-unauthenticated-sql-injection-via-automationid-vulnerability https://patchstack.com/database/wordpress/plugin/cf7-utm-tracking/vulnerability/wordpressutm-tags-landing-page-plugin-1-4-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/blue-captcha/vulnerability/wordpress-blue-captcha-plugin-1-7-4-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/omnify-widget/vulnerability/wordpress-omnify-plugin-2-0-3-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/users-customers-import-export-for-wp-woocommerce/vulnerability/wordpress-export-and-import-users-and-customers-plugin-2-6-2-authenticated-admin-php-object-injection-via-form-data-parameter-vulnerability https://patchstack.com/database/wordpress/plugin/key4ce-osticket-bridge/vulnerability/wordpress-key4ce-osticket-bridge-plugin-1-4-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/simple-post-series/vulnerability/wordpress-simple-post-series-plugin-2-4-4-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/front-end-post-edit/vulnerability/wordpress-custom-post-edit-plugin-1-0-4-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/pods/vulnerability/wordpress-pods-plugin-3-2-8-2-admin-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/proranktracker/vulnerability/wordpress-pro-rank-tracker-plugin-1-0-0-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/your-lightbox/vulnerability/wordpress-your-lightbox-plugin-1-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/ctabs/vulnerability/wordpress-ctabs-plugin-1-3-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/fancybox-plus/vulnerability/wordpress-fancybox-plus-plugin-1-0-1-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/lh-ogp-meta-tags/vulnerability/wordpress-lh-ogp-meta-plugin-1-73-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/memberspace/vulnerability/wordpress-memberspace-plugin-2-1-13-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/woo-altcoin-payment-gateway/vulnerability/wordpress-bitcoin-altcoin-payment-gateway-for-woocommerce-plugin-1-7-6-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/cookies-pro/vulnerability/wordpress-cookies-pro-plugin-1-0-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/random-quotes/vulnerability/wordpress-random-quotes-plugin-1-3-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/wp-contact-form-iii/vulnerability/wordpress-wp-contact-form-iii-plugin-1-6-2d-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/display-post-meta/vulnerability/wordpress-display-post-meta-plugin-1-5-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/zalo-live-chat/vulnerability/wordpress-zalo-live-chat-plugin-1-1-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/stylish-google-sheet-reader/vulnerability/wordpress-stylish-google-sheet-reader-plugin-4-1-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/flickr-set-slideshows/vulnerability/wordpress-flickr-set-slideshows-0-9-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/rizzi-guestbook/vulnerability/wordpress-rizzi-guestbook-plugin-4-0-1-cross-site-scripting-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/elisqlreports/ez-sql-reports-shortcode-widget-and-db-backup-41113-52508-cross-site-request-forgery-to-remote-code-execution https://patchstack.com/database/wordpress/plugin/aco-product-labels-for-woocommerce/vulnerability/wordpress-product-labels-for-woocommerce-plugin-1-5-9-admin-sqli-vulnerability https://patchstack.com/database/wordpress/plugin/stylish-google-sheet-reader/vulnerability/wordpress-stylish-google-sheet-reader-plugin-4-1-reflected-xss-vulnerability https://patchstack.com/database/wordpress/plugin/flickr-set-slideshows/vulnerability/wordpress-flickr-set-slideshows-0-9-sql-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/elisqlreports/ez-sql-reports-shortcode-widget-and-db-backup-41113-52508-cross-site-request-forgery-to-remote-code-execution https://patchstack.com/database/wordpress/plugin/wp-gcalendar/vulnerability/wordpress-wp-google-calendar-manager-plugin-2-1-sql-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/block-logic/block-logic-108-authenticated-contributor-remote-code-execution https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/profilegrid-user-profiles-groups-and-communities/profilegrid-user-profiles-groups-and-communities-5945-authenticated-subscriber-php-object-injection https://patchstack.com/database/wordpress/plugin/awesome-logos/vulnerability/wordpress-awesome-logos-plugin-1-2-csrf-to-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/trust-payments-hosted-payment-pages-integration/vulnerability/wordpress-trust-payments-gateway-for-woocommerce-plugin-1-1-4-sql-injection-vulnerability

« Späť na zoznam