CVE-2025-12505
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka weDocs dla WordPressa jest podatna na nieautoryzowany dostęp we wszystkich wersjach do 2.1.14 włącznie. Wynika to z faktu, że wtyczka nie weryfikuje prawidłowo, czy użytkownik jest upoważniony do wykonania akcji w funkcji create_item_permissions_check. Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może modyfikować globalne ustawienia wtyczki.
Ocena ryzyka
Atakujący z niskimi uprawnieniami (Subscriber) może zmieniać globalne ustawienia wtyczki, co może prowadzić do nieprawidłowego działania witryny, ujawnienia danych lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę weDocs do wersji nowszej niż 2.1.14 lub ją usuń, jeśli nie jest używana. Dodatkowo rozważ ograniczenie możliwości rejestracji nowych kont Subscriber, jeśli nie są potrzebne.
Inne podatności w weDocs
Zobacz wszystkie- CVE-2026-12734Średnie
Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybut bloku 'connectorWidth'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-12731Średnie
Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty bloków 'sectionTitleTag' i 'articleTitleTag'. Brak odpowiedniego oczyszczania danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym odwiedzeniu zainfekowanej strony.
- CVE-2026-12729Średnie
Wtyczka weDocs dla WordPressa w wersji do 2.3.0 zawiera brak autoryzacji w funkcji do_migration(). Atakujący z dostępem na poziomie Subskrybenta może wywołać migrację danych z BetterDocs do weDocs, tworząc i modyfikując wpisy typu 'docs' oraz dezaktywując wtyczki BetterDocs.
- CVE-2026-39520Średnie
Wtyczka weDocs dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The weDocs plugin for WordPress is vulnerable to unauthorized access in all versions up to, and including, 2.1.14. This is due to the plugin not properly verifying that a user is authorized to perform an action in the create_item_permissions_check function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify global plugin settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS