CVE-2025-12720

ŚrednieCVSS 5.3

Opublikowano: 06/12/2025(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka g-FFL Cockpit dla WordPressa (wersje do 1.7.1 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu autoryzacji opartej na adresie IP, którą można podszyć się w funkcji handle_enqueue_only(). Nieuwierzytelnieni atakujący mogą usuwać dowolne produkty.

Ocena ryzyka

Atakujący może bez logowania usuwać produkty, co może prowadzić do strat finansowych i zakłóceń w działalności sklepu.

Rekomendacja

Zaktualizuj wtyczkę g-FFL Cockpit do najnowszej wersji. Nie polegaj na autoryzacji opartej na adresie IP; wdróż odpowiednie mechanizmy uwierzytelniania i autoryzacji.

Inne podatności w g-FFL Cockpit

CVE-2025-12721Średnie
Wtyczka g-FFL Cockpit dla WordPressa (wersje do 1.7.1 włącznie) jest podatna na ujawnienie poufnych informacji poprzez endpoint REST API /server_status z powodu braku sprawdzania uprawnień. Nieuwierzytelnieni atakujący mogą uzyskać informacje o serwerze.

Oryginalny opis (angielski, źródło NVD)

The g-FFL Cockpit plugin for WordPress is vulnerable to unauthorized modification of data due to IP-based authorization that can be spoofed in the handle_enqueue_only() function in all versions up to, and including, 1.7.1. This makes it possible for unauthenticated attackers to delete arbitrary products.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS