CVE-2025-13092

ŚrednieCVSS 5.3

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka Devs CRM – Manage tasks, attendance and teams all together dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API /wp-json/devs-crm/v1/attendances we wszystkich wersjach do 1.1.8 włącznie. Umożliwia to nieuwierzytelnionym atakującym pobieranie prywatnych danych użytkowników, w tym hashy haseł.

Ocena ryzyka

Atakujący może uzyskać dostęp do wrażliwych danych użytkowników, co może prowadzić do naruszenia prywatności i potencjalnego przejęcia kont.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do wersji z poprawką. Należy również ograniczyć dostęp do API dla nieautoryzowanych użytkowników.

Inne podatności w Devs CRM

CVE-2025-13093Średnie
Wtyczka Devs CRM – Manage tasks, attendance and teams all together dla WordPressa do wersji 1.1.8 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w punkcie końcowym REST-API '/wp-json/devs-crm/v1/bulk-update'. Umożliwia to nieuwierzytelnionym atakującym aktualizację tagów leadów.

Oryginalny opis (angielski, źródło NVD)

The Devs CRM – Manage tasks, attendance and teams all together plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the /wp-json/devs-crm/v1/attendances REST API Endpoint in all versions up to, and including, 1.1.8. This makes it possible for unauthenticated attackers to retrieve private user data, including password hashes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS