CVE-2025-12814
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress SiteSEO – SEO Simplified (wszystkie wersje do 1.3.2 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu nieprawidłowej weryfikacji uprawnień w funkcji siteseo_reset_settings. Uwierzytelnieni atakujący z dostępem do co najmniej jednego ustawienia SiteSEO mogą zresetować ustawienia wtyczki.
Ocena ryzyka
Może to prowadzić do utraty konfiguracji SEO i niepożądanych zmian w ustawieniach witryny.
Rekomendacja
Zaktualizuj wtyczkę SiteSEO do wersji powyżej 1.3.2 i ogranicz uprawnienia użytkowników.
Inne podatności w SiteSEO – SEO Simplified
Zobacz wszystkie- CVE-2025-13085Średnie
Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na niewłaściwą autoryzację prowadzącą do ujawnienia wrażliwych metadanych postów w wersjach do 1.3.2 włącznie. Z powodu braku sprawdzenia autoryzacji na poziomie obiektu w obsłudze AJAX resolve_variables() uwierzytelnieni atakujący z uprawnieniem siteseo_manage (np. użytkownicy na poziomie Autora, którym administrator przyznał dostęp do SiteSEO) mogą odczytać dowolne metadane postów, stron, załączników lub zamówień WooCommerce, których nie mogą edytować, poprzez funkcję rozwiązywania zmiennych pól niestandardowych, pod warunkiem że mają dostęp do SiteSEO i włączone jest starsze przechowywanie. W dotkniętych instalacjach WooCommerce ujawnia to wrażliwe dane rozliczeniowe klientów, w tym imiona i nazwiska, adresy e-mail, numery telefonów, adresy fizyczne i metody płatności.
- CVE-2025-12367Średnie
Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na brak autoryzacji w wersjach do 1.3.1 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może włączać lub wyłączać dowolne funkcje SiteSEO, do których nie powinien mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
The SiteSEO – SEO Simplified plugin for WordPress is vulnerable to unauthorized modification of data due to n incorrect capability check on the siteseo_reset_settings function in all versions up to, and including, 1.3.2. This makes it possible for authenticated attackers, who have been granted access to at least on SiteSEO setting capability, to reset the plugin's settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS