CVE-2025-11510
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka FileBird – WordPress Media Library Folders & File Manager (do wersji 6.4.9 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji /filebird/v1/fb-wipe-clear-all-data. Uwierzytelniony atakujący z rolą autora lub wyższą może zresetować wszystkie dane konfiguracyjne wtyczki.
Ocena ryzyka
Utrata konfiguracji wtyczki może prowadzić do zakłócenia działania biblioteki mediów i utraty danych organizacyjnych. Może to wymagać czasochłonnego przywracania ustawień.
Rekomendacja
Zaktualizuj wtyczkę FileBird do wersji nowszej niż 6.4.9. Wdroż dodatkowe kontrole uprawnień dla krytycznych funkcji administracyjnych.
Inne podatności w FileBird
Zobacz wszystkie- CVE-2026-15004Średnie
Wtyczka FileBird – WordPress Media Library Folders & File Manager dla WordPressa jest podatna na przechowywany XSS przez tekst alternatywny obrazów we wszystkich wersjach do 6.5.6 włącznie. Powodem jest niewystarczająca sanityzacja wejścia i brak escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2025-12900Średnie
Wtyczka FileBird – WordPress Media Library Folders & File Manager dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 6.5.1 włącznie przez funkcję "ConvertController::insertToNewTable" z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym wstrzykiwanie globalnych folderów i ponowne przypisywanie dowolnych załączników do tych folderów w określonych okolicznościach.
Oryginalny opis (angielski, źródło NVD)
The FileBird – WordPress Media Library Folders & File Manager plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the /filebird/v1/fb-wipe-clear-all-data function in all versions up to, and including, 6.4.9. This makes it possible for authenticated attackers, with author-level access and above, to reset all of the plugin's configuration data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS