CVE-2025-11154

ŚrednieCVSS 5.4

Opublikowano: 27/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress IDonate w wersjach przed 2.1.13 nie sprawdza uprawnień ani tokenu CSRF przy usuwaniu użytkowników przez akcję. Umożliwia to nieuwierzytelnionemu atakującemu usunięcie dowolnego użytkownika.

Ocena ryzyka

Atakujący może bez logowania usunąć konta użytkowników, w tym administratorów, co prowadzi do utraty dostępu i zakłócenia działania serwisu.

Rekomendacja

Zaktualizuj wtyczkę IDonate do wersji 2.1.13 lub nowszej.

Inne podatności w IDonate WordPress plugin

CVE-2025-4519Wysokie
Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPress jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji idonate_donor_password() w wersjach 2.1.5 do 2.1.9. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym zainicjowanie resetu hasła dla dowolnego użytkownika (w tym administratorów) i eskalację uprawnień do pełnego przejęcia witryny.

Oryginalny opis (angielski, źródło NVD)

The IDonate WordPress plugin before 2.1.13 does not have authorisation and CSRF when deleting users via an action handler, allowing unauthenticated attackers to delete arbitrary users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS