CVE-2025-0969

ŚrednieCVSS 6.5

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Wtyczka Brizy – Page Builder dla WordPressa do wersji 2.7.16 włącznie jest podatna na ujawnienie wrażliwych informacji przez funkcję get_users(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora (Contributor) lub wyższym wyodrębnienie danych, w tym adresów e-mail i zahaszowanych haseł administratorów.

Ocena ryzyka

Ujawnienie haseł administratorów (nawet zahashowanych) może prowadzić do ataków brute-force lub innych metod łamania haseł, co może skutkować przejęciem kont administratora.

Rekomendacja

Zaleca się aktualizację wtyczki Brizy do wersji nowszej niż 2.7.16, która zawiera poprawkę ograniczającą dostęp do danych użytkowników.

Inne podatności w Brizy – Page Builder

CVE-2026-2585Średnie
Wtyczka Brizy – Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'rootAttributes' we wszystkich wersjach do 2.8.14 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The Brizy – Page Builder plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.7.16 via the get_users() function. This makes it possible for authenticated attackers, with Contributor-level access and above, to extract sensitive data including email addresses and hashed passwords of administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS