CVE-2025-12894

ŚrednieCVSS 5.3

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Import WP – Export and Import CSV and XML files do WordPressa do wersji 2.14.17 jest podatna na ujawnienie wrażliwych informacji z powodu braku ochrony .htaccess. Nieuwierzytelnieni atakujący mogą wyodrębnić dane z eksportów przechowywanych w /exportwp oraz importować dane z /importwp.

Ocena ryzyka

Ryzyko obejmuje wyciek wrażliwych danych, takich jak dane osobowe lub biznesowe, które mogą być wykorzystane do kradzieży tożsamości lub szpiegostwa.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz dodanie reguł .htaccess chroniących katalogi /exportwp i /importwp.

Inne podatności w Import WP

CVE-2026-14925Wysokie
Wtyczka WordPress Import WP przed wersją 2.14.23 nie przeprowadza żadnej kontroli autoryzacji w jednym z handlerów pobierania plików eksportu. Niezalogowani atakujący mogą pobierać pliki eksportu wygenerowane przez administratorów, które mogą zawierać dane osobowe użytkowników, takie jak adresy e-mail, nazwy logowania i role. Wykorzystanie wymaga istnienia niewykorzystanego eksportu i uzyskania klucza pobierania opartego na czasie o niskiej entropii.

Oryginalny opis (angielski, źródło NVD)

The Import WP – Export and Import CSV and XML files to WordPress plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.14.17 via the import/export functionality and a lack of .htaccess protection. This makes it possible for unauthenticated attackers to extract sensitive data from exports stored in /exportwp and import data stored in /importwp.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS