CVE-2025-11379

ŚrednieCVSS 5.3

Opublikowano: 04/12/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 18/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka WebP Express dla WordPressa jest podatna na ujawnienie informacji poprzez pliki konfiguracyjne we wszystkich wersjach do 0.25.9 włącznie. Wtyczka nie randomizuje prawidłowo nazwy pliku konfiguracyjnego, aby uniemożliwić bezpośredni dostęp na NGINX, co umożliwia nieuwierzytelnionym atakującym wyodrębnienie danych konfiguracyjnych.

Ocena ryzyka

Atakujący może uzyskać dostęp do danych konfiguracyjnych, co może prowadzić do dalszych ataków lub ujawnienia poufnych informacji. Ryzyko jest wysokie, ponieważ nie wymaga uwierzytelnienia.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 0.25.9. Zabezpiecz pliki konfiguracyjne przed bezpośrednim dostępem.

Inne podatności w WebP Express

CVE-2026-97328Wysokie
Wtyczka WordPress WebP Express przed wersją 0.25.16 nie escapuje wartości, które jej wbudowany parser HTML ponownie emituje do atrybutów elementów, gdy włączony jest nie-domyślny tryb dostarczania obrazów. Umożliwia to nieuwierzytelnionym użytkownikom przesłanie treści, która jest zapisywana, a następnie wykonywana jako Cross-Site Scripting w przeglądarce każdego użytkownika przeglądającego dotkniętą stronę, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The WebP Express plugin for WordPress is vulnerable to information exposure via config files in all versions up to, and including, 0.25.9. This is due to the plugin not properly randomizing the name of the config file to prevent direct access on NGINX. This makes it possible for unauthenticated attackers to extract configuration data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS