SK-CERT Bezpečnostné varovanie V20250820-02
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
9.8 |
| Identifikátor |
| Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností |
| Popis |
| Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých sú viaceré označené ako kritické. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-7441 sa nachádza vo WP plugine StoryChief, spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorených súborov vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu zo strany používateľa. |
| Dátum prvého zverejnenia varovania |
| 19.8.2025 |
| CVE |
| CVE-2025-7441, CVE-2025-7778, CVE-2025-6679, CVE-2025-7664, CVE-2025-6080, CVE-2025-3671, CVE-2025-8142, CVE-2025-8105, CVE-2025-7664, CVE-2025-6079, CVE-2024-12612, CVE-2025-7641, CVE-2025-6758, CVE-2025-8723, CVE-2025-7654, CVE-2025-8218, CVE-2025-7670, CVE-2025-49895, CVE-2025-8145, CVE-2025-8289, CVE-2025-8141 |
| IOC |
| – |
| Zasiahnuté systémy |
| StoryChief vo verzii staršej ako 1.0.42 Icons Factory vo verzii staršej ako (vrátane) 1.6.12 Bit Form – Custom Contact Form, Multi Step, Conversational, Payment & Quiz Form builder vo verzii staršej ako 2.20.4 AL Pack vo verzii staršej ako (vrátane) 1.0.2 WPGYM – WordPress Gym Management System vo verzii staršej ako (vrátane) 67.7.0 Soledad vo verzii staršej ako 8.6.8 School Management System for WordPress vo verzii staršej ako (vrátane) 93.2.0 Assistant for NextGEN Gallery vo verzii staršej ako (vrátane) 1.0.9 Real Spaces – WordPress Properties Directory Theme vo verzii staršej ako 3.6.1 Cloudflare Image Resizing – Optimize & Accelerate Your Images vo verzii staršej ako 1.5.7 FunnelKit – Funnel Builder for WooCommerce Checkout vo verzii staršej ako 3.11.1 FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce vo verzii staršej ako 3.6.4 Real Spaces – WordPress Properties Directory Theme vo verzii staršej ako 3.6 JS Archive List vo verzii staršej ako 6.1.6 ServerBuddy by PluginBuddy.com vo verzii staršej ako (vrátane) 1.0.5 Redirection for Contact Form 7 vo verzii staršej ako 3.2.5 |
| Následky |
| Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby |
| Odporúčania |
| Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky. |
« Späť na zoznam
