SK-CERT Bezpečnostné varovanie V20250627-02

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	10.0

Identifikátor

Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností

Popis

Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je viacero označených ako kritických. Najzávažnejšia kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-49885 sa nachádza vo WP plugine Drag and Drop Multiple File Upload (Pro), spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorených súborov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, získať úplnú kontrolu nad systémom, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu používateľa.

Dátum prvého zverejnenia varovania

27.6.2025

CVE

CVE-2025-49885, CVE-2025-6688, CVE-2024-12827, CVE-2025-4334, CVE-2025-52829, CVE-2025-39474, CVE-2025-32281, CVE-2025-2940, CVE-2025-6212, CVE-2025-24760, CVE-2025-5927, CVE-2025-52818, CVE-2025-49331, CVE-2025-6206, CVE-2025-31067, CVE-2025-5590, CVE-2025-52827, CVE-2025-28956, CVE-2025-28988, CVE-2025-39488, CVE-2025-52816, CVE-2025-52809, CVE-2025-52814, CVE-2025-24774, CVE-2025-28960 , CVE-2025-52774, CVE-2025-52824, CVE-2025-24769, CVE-2025-49290, CVE-2025-52799, CVE-2025-28947 , CVE-2025-52778, CVE-2025-49321, CVE-2025-30992, CVE-2025-27361, CVE-2025-50052, CVE-2025-28993 , CVE-2025-32297, CVE-2025-24765, CVE-2025-52817

IOC

–

Zasiahnuté systémy

Abandoned Contact Form 7 vo verzii staršej ako 2.0 (vrátane) Aiomatic – AI Content Writer, Editor, ChatBot & AI Toolkit vo verzii staršej ako 2.5.1 Amely Theme vo verzii staršej ako 3.2.0 Backwp vo všetkých verziách (ukončená podpora) BRW vo verzii staršej ako 1.7.9 (vrátane) Content No Cache vo verzii staršej ako 0.1.3 (vrátane) DirectIQ Email Marketing vo všetkých verziách (ukončená podpora) Drag and Drop Multiple File Upload (Pro) vo verzii staršej ako 5.0.7 DWT – Directory & Listing WordPress Theme vo verzii staršej ako 3.3.7 eCommerce Product Catalog vo verzii staršej ako 3.4.4 Evangelische Termine vo všetkých verziách (ukončená podpora) Eventin vo verzii staršej ako 4.0.29 Everest Forms (Pro) vo verzii staršej ako 1.9.5 Flexo Counter vo verzii staršej ako 1.0001 (vrátane) Image Shadow vo všetkých verziách (ukončená podpora) Infility Global vo verzii staršej ako 2.12.7 (vrátane) LMS Themevo verzii staršej ako 9.1 (vrátane) MagOne vo verzii staršej ako 8.5 (vrátane) MBStore – Digital WooCommerce WordPress Theme vo verzii staršej ako 2.3 (vrátane) Mobile DJ Manager vo verzii staršej ako 1.7.6 (vrátane) National Weather Service Alertsvo vo všetkých verziách (ukončená podpora) Ninja Tables vo verzii staršej ako 5.0.19 Nuss Theme vo verzii staršej ako 1.3.3 (vrátane) Off-Canvas Sidebars & Menus (Slidebars) vo verzii staršej ako 0.5.8.5 Owl carousel responsive vo všetkých verziách (ukončená podpora) Photo Express for Google vo všetkých verziách (ukončená podpora) Puca Theme vo verzii staršej ako 2.6.34 Seven Stars Theme vo verzii staršej ako 1.4.4 (vrátane) Simple Link Directory vo verzii staršej ako 14.7.3 (vrátane) Simple Payment vo verzii staršej ako 2.3.9 Simple User Registration vo verzii staršej ako 6.3 (vrátane) Sofass Theme vo verzii staršej ako 1.3.4 (vrátane) Trusty Whistleblowing vo verzii staršej ako 1.5.2 (vrátane) Ultimate Addons for Contact Form 7 vo verzii staršej ako 3.5.20 WP Front User Submit / Front Editor vo verzii staršej ako 4.9.4 WPCRM – CRM for Contact form CF7 & WooCommerce vo verzii staršej ako 3.2.0 (vrátane) WPKit For Elementor vo verzii staršej ako 1.1.0 (vrátane) xili-dictionary vo verzii staršej ako 2.12.5.2 Zenny Theme vo verzii staršej ako 1.7.5 (vrátane) Zita vo verzii staršej ako 1.6.5 (vrátane)

Následky

Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby Neoprávnený prístup do systému

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať, – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať, – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať, – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností, – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.

Zdroje

https://patchstack.com/database/wordpress/plugin/drag-and-drop-file-upload-wc-pro/vulnerability/wordpress-drag-and-drop-multiple-file-upload-pro-woocommerce-5-0-6-arbitrary-file-upload-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/simple-payment/simple-payment-136-238-authentication-bypass-to-admin https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/dwt-listing-2/dwt-directory-listing-wordpress-theme-336-unauthenticated-arbitrary-user-password-reset https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-registration/simple-user-registration-63-unauthenticated-privilege-escalation https://patchstack.com/database/wordpress/plugin/directiq-wp/vulnerability/wordpress-directiq-email-marketing-2-0-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/wpkit-elementor/vulnerability/wordpress-wpkit-for-elementor-plugin-1-1-0-arbitrary-option-update-to-privilege-escalation-vulnerability https://patchstack.com/database/wordpress/theme/amely/vulnerability/wordpress-amely-theme-3-1-4-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/ninja-tables/vulnerability/wordpress-ninja-tables-easy-data-table-builder-plugin-5-0-18-unauthenticated-server-side-request-forgery-vulnerability https://patchstack.com/database/wordpress/plugin/ultimate-addons-for-contact-form-7/vulnerability/wordpress-ultra-addons-for-contact-form-7-plugin-3-5-11-3-5-19-unauthenticated-stored-cross-site-scripting-vulnerability https://patchstack.com/database/wordpress/theme/sofass/vulnerability/wordpress-sofass-1-3-4-local-file-inclusion-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/everest-forms-pro/everest-forms-pro-194-unauthenticated-path-traversal-to-arbitrary-file-deletion https://patchstack.com/database/wordpress/plugin/trusty-whistleblowing-solution/vulnerability/wordpress-trusty-whistleblowing-1-5-2-broken-access-control-vulnerability https://patchstack.com/database/wordpress/plugin/ecommerce-product-catalog/vulnerability/wordpress-ecommerce-product-catalog-3-4-3-php-object-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/aiomatic-automatic-ai-content-writer/aiomatic-ai-content-writer-editor-chatbot-ai-toolkit-250-authenticated-subscriber-arbitrary-file-upload https://patchstack.com/database/wordpress/theme/sevenstars/vulnerability/wordpress-seven-stars-1-4-4-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/responsive-owl-carousel/vulnerability/wordpress-owl-carousel-responsive-plugin-1-9-authenticated-contributor-sql-injection-via-id-parameter-vulnerability https://patchstack.com/database/wordpress/theme/nuss/vulnerability/wordpress-nuss-1-3-3-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/backwp/vulnerability/wordpress-backwp-plugin-2-0-2-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/front-editor/vulnerability/wordpress-wp-front-user-submit-front-editor-plugin-4-9-3-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/theme/magone/vulnerability/wordpress-magone-theme-8-5-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/theme/zita/vulnerability/wordpress-zita-1-6-5-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/national-weather-service-alerts/vulnerability/wordpress-national-weather-service-alerts-1-3-5-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/ova-brw/vulnerability/wordpress-brw-1-7-9-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/wpcrm/vulnerability/wordpress-wpcrm-crm-for-contact-form-cf7-woocommerce-plugin-3-2-0-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/evangtermine/vulnerability/wordpress-evangelische-termine-3-3-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/infility-global/vulnerability/wordpress-infility-global-2-12-6-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/mobile-dj-manager/vulnerability/wordpress-mobile-dj-manager-1-7-6-privilege-escalation-vulnerability https://patchstack.com/database/wordpress/theme/bw-zenny/vulnerability/wordpress-zenny-1-7-5-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/off-canvas-sidebars/vulnerability/wordpress-off-canvas-sidebars-menus-slidebars-plugin-0-5-8-4-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/theme/lms/vulnerability/wordpress-lms-9-1-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/theme/mbstore/vulnerability/wordpress-mbstore-digital-woocommerce-wordpress-theme-2-3-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/xili-dictionary/vulnerability/wordpress-xili-dictionary-2-12-5-2-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/wp-event-solution/vulnerability/wordpress-eventin-4-0-28-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/theme/puca/vulnerability/wordpress-puca-2-6-33-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/plugin/photo-express-for-google/vulnerability/wordpress-photo-express-for-google-plugin-0-3-2-reflected-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/flexo-countdown/vulnerability/wordpress-flexo-counter-1-0001-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/content-no-cache/vulnerability/wordpress-content-no-cache-plugin-0-1-3-arbitrary-function-call-vulnerability https://patchstack.com/database/wordpress/plugin/qc-simple-link-directory/vulnerability/wordpress-simple-link-directory-pro-plugin-14-7-3-sql-injection-vulnerability https://patchstack.com/database/wordpress/plugin/image-shadow/vulnerability/wordpress-image-shadow-1-1-0-arbitrary-file-deletion-vulnerability https://patchstack.com/database/wordpress/plugin/abandoned-contact-form-7/vulnerability/wordpress-abandoned-contact-form-7-2-0-broken-access-control-vulnerability

« Späť na zoznam