SK-CERT Bezpečnostné varovanie V20250423-03
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.8 |
| Identifikátor |
| Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností |
| Popis |
| Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú viaceré označené ako kritické. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-2941 sa nachádza v plugine Drag and Drop Multiple File Upload for WooCommerce, spočíva v nedostatočnom overovaní používateľských vstupov a umožňuje vzdialenému, neautentifikovanému útočníkovi vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie zraniteľnosti vyžaduje interakciu zo strany používateľa. |
| Dátum prvého zverejnenia varovania |
| 22.4.2025 |
| CVE |
| CVE-2021-4455, CVE-2024-11273, CVE-2024-12683, CVE-2024-13452, CVE-2024-13925, CVE-2024-13926, CVE-2025-0308, CVE-2025-0717, CVE-2025-1093, CVE-2025-2010, CVE-2025-26748, CVE-2025-2941, CVE-2025-3103, CVE-2025-32613, CVE-2025-3275, CVE-2025-3278, CVE-2025-3294, CVE-2025-3404, CVE-2025-3520, CVE-2025-3616, CVE-2025-3809, CVE-2025-39381, CVE-2025-39396, CVE-2025-39402, CVE-2025-39405, CVE-2025-39414, CVE-2025-39415, CVE-2025-39416, CVE-2025-39417, CVE-2025-39418, CVE-2025-39419, CVE-2025-39420, CVE-2025-39421, CVE-2025-39422, CVE-2025-39423, CVE-2025-39424, CVE-2025-39430, CVE-2025-39431, CVE-2025-39432, CVE-2025-39433, CVE-2025-39440, CVE-2025-39441, CVE-2025-39442, CVE-2025-39518, CVE-2025-39530, CVE-2025-39544 |
| IOC |
| – |
| Zasiahnuté systémy |
| Drag and Drop Multiple File Upload for WooCommerce vo verzii staršej ako 1.1.5 Add to Header vo verzii staršej ako (vrátane) 1.0 AI Hub – Startup & Technology WordPress Theme vo verzii staršej ako 1.3.8 Amazon Showcase WordPress Plugin vo verzii staršej ako (vrátane) 2.2 Arkhe vo verzii staršej ako (vrátane) 3.11.0 Avatar vo verzii staršej ako (vrátane) 0.1.4 bbPress2 shortcode whitelist vo verzii staršej ako (vrátane) 2.2.1 Bknewsticker vo verzii staršej ako (vrátane) 1.0.5 BMA Lite vo verzii staršej ako (vrátane) 1.4.2 Broken Links Remover vo verzii staršej ako (vrátane) 1.2.2 CLEVER – HTML5 Radio Player With History – Shoutcast and Icecast – Elementor Widget Addon vo verzii staršej ako 2.5 Contact Form & SMTP Plugin vo verzii staršej ako 2.6.0 Contact Form by Supsystic vo verzii staršej ako 1.7.30 Dashboard Notepads vo verzii staršej ako (vrátane) 1.2.1 Debug Log Manager vo verzii staršej ako 2.3.5 Download Manager vo verzii staršej ako 3.3.13 Greenshift – animation and page builder blocks vo verzii staršej ako 11.4.6 Insert Headers And Footers vo verzii staršej ako 3.1.2 JetReviews vo verzii staršej ako (vrátane) 2.3.7 JobWP – Job Board, Job Listing, Career Page and Recruitment Plugin vo verzii staršej ako 2.4.0 KiotViet Sync vo verzii staršej ako (vrátane) 1.8.4 Klarna Checkout for WooCommerce vo verzii staršej ako 2.13.5 mLanguage vo verzii staršej ako (vrátane) 1.6.1 Redirect wordpress to welcome or landing page vo verzii staršej ako (vrátane) 2.0 Review Wave – Google Places Reviews vo verzii staršej ako (vrátane) 1.4.7 Revision Diet vo verzii staršej ako (vrátane) 1.0.1 RSS Manager vo verzii staršej ako (vrátane) 0.06 Simple Maps vo verzii staršej ako (vrátane) 0.98 Site Search 360 vo verzii staršej ako (vrátane) 2.1.7 Smart Maintenance Mode vo verzii staršej ako 1.5.2 Social Media Links vo verzii staršej ako (vrátane) 1.0.3 Social Slider Feed vo verzii staršej ako 2.2.9 spam-stopper vo verzii staršej ako (vrátane) 3.1.3 Themesflat Addons For Elementor vo verzii staršej ako 2.2.6 translit it! vo verzii staršej ako (vrátane) 1.6 Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin vo verzii staršej ako 2.10.2 UrbanGo Membership vo verzii staršej ako 1.1 Wordpress Plugin Smart Product Review vo verzii staršej ako 1.0.5 WP Editor vo verzii staršej ako 1.2.9.2 WP Social Bookmarking vo verzii staršej ako (vrátane) 3.6 WP Sticky Side Buttons vo verzii staršej ako (vrátane) 2.1 WP Syntax vo verzii staršej ako (vrátane) 1.2 WP Tools vo verzii staršej ako 5.19 WP Twitter Button vo verzii staršej ako (vrátane) 1.4.1 WPAMS vo verzii staršej ako (vrátane) 44.0 (17-08-2023) |
| Následky |
| Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby |
| Odporúčania |
| Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky. |
« Späť na zoznam
