CVE-2025-11895

ŚrednieCVSS 4.3

Opublikowano: 17/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka Binary MLM Plan dla WordPressa (do wersji 5.0 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR). Funkcja bmp_user_payout_detail_of_current_user() wybiera rekordy wypłat wyłącznie na podstawie id, bez weryfikacji właściciela, co pozwala uwierzytelnionym atakującym z rolą bmp_user (często subskrybentom) przeglądać podsumowania wypłat innych członków poprzez bezpośrednie żądania do endpointu /bmp-account-detail/ z spreparowanym parametrem payout-id.

Ocena ryzyka

Naruszenie poufności danych finansowych innych użytkowników, w tym szczegółów wypłat. Może to prowadzić do wycieku informacji wrażliwych i wykorzystania ich w atakach socjotechnicznych.

Rekomendacja

Zaktualizuj wtyczkę Binary MLM Plan do wersji nowszej niż 5.0, która naprawia brak weryfikacji właściciela. Wdroż kontrole uprawnień na poziomie funkcji.

Inne podatności w Binary MLM Plan

CVE-2025-10038Średnie
Wtyczka Binary MLM Plan dla WordPressa ma ograniczoną eskalację uprawnień w wersjach do 3.0 włącznie. Rola bmp_user przyznaje wszystkim użytkownikom możliwość zarządzania ustawieniami wtyczki po rejestracji przez formularz.

Oryginalny opis (angielski, źródło NVD)

The Binary MLM Plan plugin for WordPress is vulnerable to insecure direct object reference in versions up to, and including, 5.0. This is due to the bmp_user_payout_detail_of_current_user() function selecting payout records solely by id without verifying ownership. This makes it possible for authenticated attackers with the bmp_user role (often subscribers) to view other members' payout summaries via direct requests to the /bmp-account-detail/ endpoint with a crafted payout-id parameter granted they can access the shortcode output.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS