CVE-2025-12901

ŚrednieCVSS 4.3

Opublikowano: 12/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Asgaros Forum dla WordPressa jest podatna na cross-site request forgery (CSRF) we wszystkich wersjach do 3.2.1 włącznie. Wynika to z braku walidacji nonce w funkcji set_subscription_level(). Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień subskrypcji uwierzytelnionych użytkowników poprzez sfałszowane żądanie, pod warunkiem nakłonienia zalogowanego użytkownika do wykonania akcji, np. kliknięcia linku.

Ocena ryzyka

Atakujący może zmienić ustawienia subskrypcji użytkowników bez ich wiedzy, co może prowadzić do niechcianych powiadomień lub zmian w konfiguracji konta. Ryzyko dotyczy organizacji korzystających z wtyczki Asgaros Forum.

Rekomendacja

Zaktualizuj wtyczkę Asgaros Forum do wersji nowszej niż 3.2.1, która zawiera poprawkę. Dodatkowo rozważ wdrożenie ochrony CSRF na poziomie aplikacji lub WAF.

Inne podatności w Asgaros Forum

CVE-2026-39779Średnie
Wtyczka Asgaros Forum do wersji 3.4.0 zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji forum.

Oryginalny opis (angielski, źródło NVD)

The Asgaros Forum plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 3.2.1. This is due to missing nonce validation on the set_subscription_level() function. This makes it possible for unauthenticated attackers to modify the subscription settings of authenticated users via a forged request granted they can trick a logged-in user into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS