SK-CERT Bezpečnostné varovanie V20250828-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

Pluginy redakčného systému WordPress – viacero kritických bezpečnostných zraniteľností

Popis

Vývojári pluginov pre redakčný systém WordPress vydali bezpečnostné aktualizácie svojich produktov, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých je viacero označených ako kritických. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-8895 sa nachádza vo WP plugine WP Webhooks – Automate repetitive tasks by creating powerful automation workflows directly within WordPress, spočíva v nedostatočnom overovaní používateľských vstupov a umožňuje vzdialenému, neautentifikovanému útočníkovi získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme a spôsobiť zneprístupnenie služby. Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, eskalovať privilégiá a vykonať škodlivý kód. Zneužitie niektorých zraniteľností vyžaduje interakciu zo strany používateľa.

Dátum prvého zverejnenia varovania

25.8.2025

CVE

CVE-2025-8895, CVE-2025-7642, CVE-2025-5821, CVE-2025-49404, CVE-2025-48321, CVE-2025-8592, CVE-2025-8281, CVE-2025-5060, CVE-2025-7813, CVE-2025-9048, CVE-2025-53577, CVE-2025-6366, CVE-2025-9172, CVE-2025-5931, CVE-2025-53578, CVE-2025-53584, CVE-2025-53583, CVE-2025-54731, CVE-2025-53243, CVE-2025-48109 , CVE-2025-53572, CVE-2025-48304, CVE-2025-48306, CVE-2025-53227, CVE-2025-7955, CVE-2025-54713, CVE-2025-49402, CVE-2025-53223, CVE-2025-53588, CVE-2024-13807, CVE-2025-7812, CVE-2025-53230, CVE-2025-53334, CVE-2025-53224, CVE-2025-49894

IOC

–

Zasiahnuté systémy

WP Webhooks – Automate repetitive tasks by creating powerful automation workflows directly within WordPress vo verzii staršej ako 3.3.6 Simpler Checkout vo verzii staršej ako (vrátane) 1.1.9 Case Theme User vo verzii staršej ako 1.0.4 Listeo-Core vo verzii staršej ako (vrátane) 1.9.32 Ultimate twitter profile widget vo verzii staršej ako (vrátane) 1.0 Inspiro vo verzii staršej ako 2.1.3 WP Talroo vo verzii staršej ako (vrátane) 2.4 Eventin – AI Powered Event Manager, Events Calendar, Booking and Tickets Plugin vo verzii staršej ako 4.0.38 Bravis User vo verzii staršej ako 1.0.0 Wptobe-memberships vo verzii staršej ako (vrátane) 3.4.2 Global DNS vo verzii staršej ako 3.1.1 Vibes vo verzii staršej ako 2.2.1 Dokan Pro vo verzii staršej ako 4.0.6 Event List vo verzii staršej ako 2.0.5 kipso vo verzii staršej ako 1.3.5 WP Ticket Customer Service Software & Support Ticket System vo verzii staršej ako 6.0.3 Employee Spotlight vo verzii staršej ako 5.1.2 YouTube Showcase vo verzii staršej ako 3.5.2 Employee Directory – Staff Listing &amp vo verzii staršej ako (vrátane) 4.5.3 XM-Backup vo všetkých verziách (ukončená podpora) WP Easy Contact vo verzii staršej ako 4.0.2 Google XML News Sitemap plugin vo všetkých verziách (ukončená podpora) Savyour Affiliate Partner vo všetkých verziách (ukončená podpora) RingCentral Communications Plugin – FREE vo verzii staršej ako 1.7.0 Taxi Booking Manager for WooCommerce vo verzii staršej ako 1.3.1 Magazine Saga vo verzii staršej ako (vrátane) 1.2.7 UPC/EAN/GTIN Code Generator vo verzii staršej ako 2.0.3 Xagio SEO – AI Powered SEO vo verzii staršej ako 7.1.0.6 Video Share VOD – Turnkey Video Site Builder Script vo verzii staršej ako 2.7.7 Nuss vo verzii staršej ako (vrátane) 1.3.3 Exertio Framework vo verzii staršej ako (vrátane) 1.3.3 NextGEN Gallery Search vo verzii staršej ako (vrátane) 2.12 Theme Switcher Reloaded vo verzii staršej ako (vrátane) 1.1 Page Manager for Elementor vo verzii staršej ako (vrátane) 2.0.5 Jannah vo verzii staršej ako (vrátane) 7.4.1

Následky

Vykonanie škodlivého kódu Eskalácia privilégií Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Odporúčame uistiť sa, či Vaše webové stránky a aplikácie založené na redakčnom systéme WordPress nevyužívajú predmetné pluginy v zraniteľných verziách. V prípade, že áno, administrátorom SK-CERT odporúča: – v prípade, že sa jedná o pluginy s ukončenou podporou, predmetné pluginy odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré nie sú v súčasnosti dostupné bezpečnostné aktualizácie, predmetné pluginy až do vydania záplat deaktivovať alebo odinštalovať – v prípade, že sa jedná o pluginy, pre ktoré sú dostupné bezpečnostné záplaty, predmetné pluginy aktualizovať – vo všetkých prípadoch preveriť logy na prítomnosť pokusov o zneužitie zraniteľností – vo všetkých prípadoch preveriť integritu databázy a samotného redakčného systému Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom alebo vzdialené vykonanie kódu, je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.

Zdroje

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-webhooks/wp-webhooks-335-unauthenticated-arbitrary-file-copy https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/simpler-checkout/simpler-checkout-070-119-authentication-bypass https://patchstack.com/database/wordpress/plugin/ultimate-twitter-profile-widget/vulnerability/wordpress-ultimate-twitter-profile-widget-plugin-1-0-csrf-to-stored-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/case-theme-user/case-theme-user-103-authentication-bypass-via-social-login https://patchstack.com/database/wordpress/plugin/listeo-core/vulnerability/wordpress-listeo-core-plugin-1-9-32-sql-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/inspiro/inspiro-212-cross-site-request-forgery-to-arbitrary-plugin-installation https://patchstack.com/database/wordpress/plugin/wp-jobs2careers/vulnerability/wordpress-wp-talroo-plugin-2-4-reflected-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-event-solution/event-manager-events-calendar-booking-registrations-and-tickets-eventin-4037-unauthenticated-server-side-request-forgery https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/bravis-user/bravis-user-100-authentication-bypass-to-account-takeover https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wptobe-memberships/wptobe-memberships-342-authenticated-subscriber-arbitrary-file-deletion https://patchstack.com/database/wordpress/plugin/global-dns/vulnerability/wordpress-global-dns-plugin-3-1-0-remote-code-execution-rce-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/vibes/vibes-220-unauthenticated-sql-injection-via-resource-parameter https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/dokan-pro/dokan-pro-405-authenticated-vendor-privilege-escalation https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/eventlist/event-list-204-authenticated-subscriber-privilege-escalation https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/kipso/kipso-134-unauthenticated-local-file-inclusion https://patchstack.com/database/wordpress/plugin/wp-ticket/vulnerability/wordpress-wp-ticket-customer-service-software-support-ticket-system-plugin-6-0-2-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/employee-spotlight/vulnerability/wordpress-employee-spotlight-plugin-5-1-1-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/youtube-showcase/vulnerability/wordpress-youtube-showcase-plugin-3-5-1-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/employee-directory/vulnerability/wordpress-employee-directory-staff-listing-team-directory-plugin-for-wordpress-plugin-4-5-2-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/xm-backup/vulnerability/wordpress-xm-backup-plugin-0-9-1-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/wp-easy-contact/vulnerability/wordpress-wp-easy-contact-plugin-4-0-1-php-object-injection-vulnerability https://patchstack.com/database/wordpress/plugin/gn-xml-sitemap/vulnerability/wordpress-google-xml-news-sitemap-plugin-plugin-0-02-cross-site-request-forgery-csrf-to-stored-xss-vulnerability https://patchstack.com/database/wordpress/plugin/savyour-affiliate-partner/vulnerability/wordpress-savyour-affiliate-partner-plugin-2-1-4-csrf-to-stored-xss-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/rccp-free/ringcentral-communications-15-168-missing-serverside-verification-to-authentication-bypass-via-ringcentral-admin-login-2fa-verify-function https://patchstack.com/database/wordpress/plugin/upc-ean-barcode-generator/vulnerability/wordpress-upc-ean-gtin-code-generator-plugin-2-0-2-arbitrary-file-deletion-vulnerability https://patchstack.com/database/wordpress/plugin/nextgen-gallery-search-galleries/vulnerability/wordpress-nextgen-gallery-search-plugin-2-12-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/ecab-taxi-booking-manager/vulnerability/wordpress-taxi-booking-manager-for-woocommerce-plugin-1-3-0-broken-authentication-vulnerability https://patchstack.com/database/wordpress/theme/magazine-saga/vulnerability/wordpress-magazine-saga-theme-1-2-7-local-file-inclusion-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/xagio-seo/xagio-seo-7105-unauthenticated-sensitive-information-exposure-via-unprotected-back-up-files https://patchstack.com/database/wordpress/plugin/theme-switcher-reloaded/vulnerability/wordpress-theme-switcher-reloaded-plugin-1-1-cross-site-scripting-xss-vulnerability https://patchstack.com/database/wordpress/plugin/exertio-framework/vulnerability/wordpress-exertio-framework-plugin-1-3-3-sql-injection-vulnerability https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/video-share-vod/video-share-vod-turnkey-video-site-builder-script-276-cross-site-request-forgery-to-command-injection https://patchstack.com/database/wordpress/plugin/page-manager-for-elementor/vulnerability/wordpress-page-manager-for-elementor-plugin-2-0-5-broken-access-control-vulnerability https://patchstack.com/database/wordpress/theme/nuss/vulnerability/wordpress-nuss-theme-1-3-3-local-file-inclusion-vulnerability https://patchstack.com/database/wordpress/theme/jannah/vulnerability/wordpress-jannah-theme-7-4-1-local-file-inclusion-vulnerability

« Späť na zoznam