CVE-2025-12005
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WP VR – 360 Panorama i Free Virtual Tour Builder dla WordPressa jest podatna na nieautoryzowany dostęp do danych we wszystkich wersjach do 8.5.41 włącznie. Wynika to z braku prawidłowej weryfikacji uprawnień użytkownika, co pozwala uwierzytelnionym atakującym z poziomem współpracownika (contributor) i wyższym na modyfikację wrażliwych opcji wtyczki.
Ocena ryzyka
Ryzyko polega na możliwości zmiany ważnych ustawień wtyczki przez nieuprawnione osoby, co może prowadzić do nieprawidłowej konfiguracji i potencjalnych problemów z bezpieczeństwem strony.
Rekomendacja
Zalecane jest natychmiastowe zaktualizowanie wtyczki do najnowszej dostępnej wersji oraz ograniczenie uprawnień kont użytkowników do minimum niezbędnego.
Inne podatności w WP VR
Zobacz wszystkie- CVE-2026-104386Średnie
Wtyczka WP VR do WordPressa zawiera podatność na brak autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 9.1.3 włącznie.
- CVE-2025-62885Średnie
Wtyczka WP VR zawiera podatność typu DOM-Based Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 8.5.48 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WP VR – 360 Panorama and Free Virtual Tour Builder For WordPress plugin for WordPress is vulnerable to unauthorized access of data in all versions up to, and including, 8.5.41. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with contributor level access and above, to modify sensitive plugin options.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS