SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2025-11762

ŚrednieCVSS 4.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka HubSpot All-In-One Marketing dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 11.3.32 włącznie, poprzez plik leadin/public/admin/class-adminconstants.php. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wyodrębnienie listy wszystkich zainstalowanych wtyczek i ich wersji, co może być wykorzystane do rozpoznania i dalszych ataków.

Ocena ryzyka

Ryzyko polega na możliwości przeprowadzenia rozpoznania środowiska WordPress, co może ułatwić atakującemu znalezienie i wykorzystanie innych podatności w zainstalowanych wtyczkach.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do panelu administracyjnego dla użytkowników o niższych rolach.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The HubSpot All-In-One Marketing - Forms, Popups, Live Chat plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 11.3.32 via the leadin/public/admin/class-adminconstants.php file. This makes it possible for authenticated attackers, with Contributor-level access and above, to extract a list of all installed plugins and their versions which can be leveraged for reconnaissance and further attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS