SK-CERT Bezpečnostné varovanie V20250601-02
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.8 |
| Identifikátor |
| Pluginy redakčného systému WordPress – päť kritických bezpečnostných zraniteľností |
| Popis |
| Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je päť označených ako kritických. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-31059 sa nachádza v plugine WBW Product Table PRO, spočíva v nedostatočnom overovaní používateľských vstupov a umožňuje lokálnemu, neautentifikovanému útočníkovi prostredníctvom SQL injekcie vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. |
| Dátum prvého zverejnenia varovania |
| 3.6.2025 |
| CVE |
| CVE-2025-4607, CVE-2025-4631, CVE-2025-31059, CVE-2025-4797, CVE-2025-48330, CVE-2025-31920, CVE-2025-47601, CVE-2025-4672, CVE-2025-4103, CVE-2025-5190, CVE-2025-48331, CVE-2025-4857, CVE-2025-47694, CVE-2025-48329, CVE-2025-4224, CVE-2025-3951, CVE-2025-4392 |
| IOC |
| – |
| Zasiahnuté systémy |
| WBW Product Table PRO vo verzii staršej ako (vrátane) 2.1.3 PSW Front-end Login & Registration vo verzii staršej ako (vrátane) 1.12 The E-Commerce ERP: Purchasing, Inventory, Fulfillment, Manufacturing, BOM, Accounting, Sales Analysis vo verzii staršej ako (vrátane) 2.1.1.3 Golo – City Travel Guide WordPress Theme vo verzii staršej ako (vrátane) 1.7.1 Real Time Validation for Gravity Forms vo verzii staršej ako (vrátane) 1.7.0 WP Guppy vo verzii staršej ako (vrátane) 4.3.3 MaxiBlocks vo verzii staršej ako (vrátane) 2.1.0 Offsprout Page Builder vo verzii staršej ako (vrátane) 2.15.2 WP-GeoMeta vo verzii staršej ako (vrátane) 0.3.5 Browse As vo verzii staršej ako (vrátane) 0.2 WooCommerce Orders & Customers Exporter vo verzii staršej ako (vrátane) 5.0 Newsletters vo verzii staršej ako 4.10 Blog Designer PRO for WordPress vo verzii staršej ako (vrátane) 3.4.7 wpForo + wpForo Advanced Attachments vo verzii staršej ako 3.2.0 WP-Optimize vo verzii staršej ako 4.2.0 Shared Files – Frontend File Upload Form & Secure File Sharing vo verzii staršej ako 1.7.49 |
| Následky |
| Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby |
| Odporúčania |
| Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. |
« Späť na zoznam
