SK-CERT Bezpečnostné varovanie V20250502-03

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	10.0

Identifikátor

Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností

Popis

Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú viaceré označené ako kritické. Najzávažnejšia kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-3776 sa nachádza vo WP plugine Verification SMS with TargetSMS, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne upravených príkazov vykonať škodlivý kód, získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme a spôsobiť zneprístupnenie služby. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, získať úplnú kontrolu nad systémom, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu používateľa.

Dátum prvého zverejnenia varovania

29.4.2025

CVE

CVE-2025-3776, CVE-2025-46539, CVE-2025-2907, CVE-2025-3604, CVE-2025-2105, CVE-2025-2470, CVE-2025-3603, CVE-2025-3065, CVE-2025-43833, CVE-2025-39374, CVE-2025-39370, CVE-2024-11917, CVE-2025-2801, CVE-2024-13808, CVE-2025-3491, CVE-2025-2101, CVE-2025-3914, CVE-2025-1294, CVE-2025-2238, CVE-2025-3866, CVE-2025-3867, CVE-2025-46481, CVE-2025-3868, CVE-2025-1279, CVE-2025-1565, CVE-2025-46507, CVE-2025-46473, CVE-2024-8243 , CVE-2025-3761, CVE-2025-3101, CVE-2025-3607

IOC

–

Zasiahnuté systémy

Absolute Links vo všetkých verziách (ukončená podpora) Add custom page template vo všetkých verziách (ukončená podpora) Add Google +1 (Plus one) social share Button vo všetkých verziách (ukončená podpora) Aeropage Sync for Airtable vo verzii staršej ako 3.3.0 Ajax Comment Form CST vo všetkých verziách (ukončená podpora) Best Posts Summary vo verzii staršej ako 1.0 (vrátane) BM Content Builder vo verzii staršej ako 3.16.3 Configurator Theme Core vo verzii staršej ako 1.4.7 (vrátane) Custom Admin-Bar Favorites vo všetkých verziách (ukončená podpora) Database Toolset vo všetkých verziách (ukončená podpora) EduMall vo verzii staršej ako 4.3.0 eForm – WordPress Form Builder vo verzii staršej ako 4.19 Fable Extra vo verzii staršej ako 1.0.7 Flickr Shortcode Importer vo všetkých verziách (ukončená podpora) Flynax Bridge vo všetkých verziách (ukončená podpora) Form Builder vo verzii staršej ako 1.2.4 (vrátane) Frontend Login and Registration Blocks vo verzii staršej ako 1.0.7 (vrátane) iCafe Library vo všetkých verziách (ukončená podpora) JobSearch vo verzii staršej ako 2.8.8 (vrátane) JupiterX Core vo verzii staršej ako 4.8.12 Mayosis Core voverzii staršej ako 5.4.2 My Tickets – Accessible Event Ticketing vo verzii staršej ako 2.0.17 Order Delivery Date for WP e-Commerce vo verzii staršej ako 12.3.1 Plugin Upgrade Time Out vo verzii staršej ako 1.0 (vrátane) Service Finder Booking vo verzii staršej ako 6.0 Social Counter vo všetkých verziách (ukončená podpora) Unsafe Mimetypes vo všetkých verziách (ukončená podpora) Verification SMS with TargetSMS vo všetkých verziách (ukončená podpora) Vikinger vo verzii staršej ako 1.9.31 Xpro Elementor Addons – Pro vo verzii staršej ako 1.4.10

Následky

Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby Neoprávnený prístup do systému

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetný plugin v zraniteľnej verzii. V prípade, že áno, bezodkladne zabezpečte aktualizáciu redakčného systému a všetkých používaných pluginov na aktuálne verzie bez známych bezpečnostných zraniteľností. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.

Zdroje

https://patchstack.com/database/wordpress/plugin/verification-sms-targetsms/vulnerability/wordpress-verification-sms-with-targetsms-plugin-1-5-unauthenticated-limited-remote-code-execution-vulnerability https://patchstack.com/database/wordpress/plugin/fable-extra/vulnerability/wordpress-fable-extra-1-0-6-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/order-delivery-date/vulnerability/wordpress-order-delivery-date-pro-for-woocommerce-plugin-12-3-1-unauthenticated-arbitrary-option-update-vulnerability https://patchstack.com/database/wordpress/plugin/flynax-bridge/vulnerability/wordpress-flynax-bridge-plugin-2-2-0-unauthenticated-privilege-escalation-via-account-takeover-vulnerability https://patchstack.com/database/wordpress/plugin/jupiterx-core/vulnerability/wordpress-jupiter-x-core-plugin-4-8-11-unauthenticated-php-object-injection-via-phar-vulnerability https://patchstack.com/database/wordpress/plugin/sf-booking/vulnerability/wordpress-service-finder-bookings-plugin-5-1-unauthenticated-privilege-escalation-via-nsl-registration-store-extra-input-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/database-toolset/database-toolset-184-unauthenticated-arbitrary-file-deletion-1 https://patchstack.com/database/wordpress/plugin/absolute-links/vulnerability/wordpress-absolute-links-plugin-1-1-1-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/best-posts-summary/vulnerability/wordpress-best-posts-summary-plugin-1-0-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/icafe-library/vulnerability/wordpress-icafe-library-plugin-1-8-3-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wp-jobsearch/vulnerability/wordpress-jobsearch-wp-job-board-plugin-2-8-8-authentication-bypass-via-social-logins-vulnerability https://patchstack.com/database/wordpress/plugin/abcsubmit/vulnerability/wordpress-form-builder-plugin-1-2-4-unauthenticated-arbitrary-shortcode-execution-vulnerability https://patchstack.com/database/wordpress/plugin/xpro-elementor-addons-pro/vulnerability/wordpress-xpro-elementor-addons-pro-plugin-1-4-9-authenticated-contributor-remote-code-execution-vulnerability https://patchstack.com/database/wordpress/plugin/add-custom-page-template/vulnerability/wordpress-add-custom-page-template-plugin-2-0-1-authenticated-administrator-php-code-injection-to-remote-code-execution-vulnerability https://patchstack.com/database/wordpress/theme/edumall/vulnerability/wordpress-edumall-plugin-4-2-4-unauthenticated-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/aeropage-sync-for-airtable/vulnerability/wordpress-aeropage-sync-for-airtable-plugin-3-2-0-authenticated-subscriber-arbitrary-file-upload-vulnerability https://patchstack.com/database/wordpress/plugin/wp-fsqm-pro/vulnerability/wordpress-eform-plugin-4-18-0-unauthenticated-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/theme/vikinger/vulnerability/wordpress-vikinger-theme-1-9-30-authenticated-subscriber-privilege-escalation-via-vikinger-user-meta-update-ajax-vulnerability https://patchstack.com/database/wordpress/plugin/add-google-plus-one-social-share-button/vulnerability/wordpress-add-google-1-plus-one-social-share-button-plugin-1-0-0-cross-site-request-forgery-to-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/ajax-comment-form-cst/vulnerability/wordpress-ajax-comment-form-cst-plugin-1-2-cross-site-request-forgery-to-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/flickr-shortcode-importer/vulnerability/wordpress-flickr-shortcode-importer-2-2-3-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/admin-bookmarks/vulnerability/wordpress-custom-admin-bar-favorites-plugin-0-1-reflected-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/plugin/bm-builder/vulnerability/wordpress-bm-content-builder-plugin-3-16-2-1-missing-authorization-to-authenticated-subscriber-arbitrary-options-update-vulnerability https://patchstack.com/database/wordpress/plugin/mayosis-core/vulnerability/wordpress-mayosis-core-plugin-5-4-1-unauthenticated-arbitrary-file-read-vulnerability https://patchstack.com/database/wordpress/plugin/unsafe-mimetypes/vulnerability/wordpress-unsafe-mimetypes-plugin-0-1-4-cross-site-request-forgery-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/social-counter/vulnerability/wordpress-social-counter-2-0-5-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wordpressplugin-upgrade-time-out-plugin/vulnerability/wordpress-plugin-upgrade-time-out-plugin-1-0-stored-xss-via-csrf-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/my-tickets/my-tickets-accessible-event-ticketing-2016-authenticated-subscriber-privilege-escalation https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/amz-configurator-core/configurator-theme-core-147-authenticated-subscriber-privilege-escalation https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/frontend-login-and-registration-blocks/frontend-login-and-registration-blocks-107-authenticated-subscriber-privilege-escalation-via-password-reset

« Späť na zoznam