CVE-2025-12366

ŚrednieCVSS 4.3

Opublikowano: 13/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Page Builder: Pagelayer – Drag and Drop website builder dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 2.0.5 włącznie, przez funkcję pagelayer_replace_page z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym podmianę plików multimedialnych należących do innych użytkowników, w tym administratorów.

Ocena ryzyka

Ryzyko obejmuje możliwość podmiany plików multimedialnych innych użytkowników, co może prowadzić do naruszenia integralności treści i potencjalnego wstrzyknięcia złośliwego kodu.

Rekomendacja

Zaleca się aktualizację wtyczki Pagelayer do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników i regularnie audytować dostęp do funkcji podmiany plików.

Inne podatności w Pagelayer

CVE-2026-39469Średnie
Wtyczka PageLayer dla WordPressa do wersji 2.0.8 ma podatność ujawnienia wrażliwych informacji systemowych, która umożliwia odzyskanie osadzonych danych wrażliwych.

Oryginalny opis (angielski, źródło NVD)

The Page Builder: Pagelayer – Drag and Drop website builder plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.0.5 via the pagelayer_replace_page function due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Author-level access and above, to replace media files belonging to other users, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS