CVE-2025-11705
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka Anti-Malware Security and Brute-Force Firewall dla WordPressa w wersjach do 4.23.81 włącznie jest podatna na odczyt dowolnych plików z powodu braku sprawdzenia uprawnień w połączeniu z ujawnieniem informacji w kilku akcjach AJAX GOTMLS_*. Uwierzytelniony atakujący z poziomem Subscriber i wyższym może odczytać zawartość dowolnych plików na serwerze.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może odczytać wrażliwe pliki (np. konfiguracyjne, z poświadczeniami), co może prowadzić do dalszego naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 4.23.81, jeśli jest dostępna, lub tymczasowo wyłącz wtyczkę i zweryfikuj uprawnienia do akcji AJAX.
Inne podatności w Anti-Malware Security and Brute-Force Firewall
Zobacz wszystkie- CVE-2026-57691Średnie
Wtyczka Anti-Malware Security and Brute-Force Firewall (gotmls) zawiera podatność na odbity atak XSS spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji do 4.23.89 włącznie.
- CVE-2026-39478Wysokie
Wersje Anti-Malware Security i Brute-Force Firewall do 4.23.87 są podatne na wstrzyknięcie obiektów PHP przez atakujących.
Oryginalny opis (angielski, źródło NVD)
The Anti-Malware Security and Brute-Force Firewall plugin for WordPress is vulnerable to Arbitrary File Read in all versions up to, and including, 4.23.81 due to a missing capability check combined with an information exposure in several GOTMLS_* AJAX actions. This makes it possible for authenticated attackers, with Subscriber-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS