CVE-2025-12367
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na brak autoryzacji w wersjach do 1.3.1 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może włączać lub wyłączać dowolne funkcje SiteSEO, do których nie powinien mieć dostępu.
Ocena ryzyka
Atakujący z kontem Author może zmieniać ustawienia SEO, co może prowadzić do obniżenia widoczności witryny w wyszukiwarkach lub innych niepożądanych efektów. Może to zaszkodzić reputacji i ruchowi na stronie.
Rekomendacja
Zaktualizuj wtyczkę SiteSEO – SEO Simplified do wersji nowszej niż 1.3.1. Ogranicz uprawnienia Author i regularnie przeglądaj ustawienia wtyczki.
Inne podatności w SiteSEO – SEO Simplified
Zobacz wszystkie- CVE-2025-13085Średnie
Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na niewłaściwą autoryzację prowadzącą do ujawnienia wrażliwych metadanych postów w wersjach do 1.3.2 włącznie. Z powodu braku sprawdzenia autoryzacji na poziomie obiektu w obsłudze AJAX resolve_variables() uwierzytelnieni atakujący z uprawnieniem siteseo_manage (np. użytkownicy na poziomie Autora, którym administrator przyznał dostęp do SiteSEO) mogą odczytać dowolne metadane postów, stron, załączników lub zamówień WooCommerce, których nie mogą edytować, poprzez funkcję rozwiązywania zmiennych pól niestandardowych, pod warunkiem że mają dostęp do SiteSEO i włączone jest starsze przechowywanie. W dotkniętych instalacjach WooCommerce ujawnia to wrażliwe dane rozliczeniowe klientów, w tym imiona i nazwiska, adresy e-mail, numery telefonów, adresy fizyczne i metody płatności.
- CVE-2025-12814Średnie
Wtyczka WordPress SiteSEO – SEO Simplified (wszystkie wersje do 1.3.2 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu nieprawidłowej weryfikacji uprawnień w funkcji siteseo_reset_settings. Uwierzytelnieni atakujący z dostępem do co najmniej jednego ustawienia SiteSEO mogą zresetować ustawienia wtyczki.
Oryginalny opis (angielski, źródło NVD)
The SiteSEO – SEO Simplified plugin for WordPress is vulnerable to Missing Authorization in versions up to, and including, 1.3.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with Author-level access and above, to enable or disable arbitrary SiteSEO features that they should not have access to.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS