CVE-2025-13377
KrytyczneStreszczenie
Wtyczka 10Web Booster dla WordPressa jest podatna na arbitralne usuwanie folderów z powodu niewystarczającej walidacji ścieżek w funkcji get_cache_dir_for_page_from_url() we wszystkich wersjach do 2.32.7 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą usuwać dowolne foldery na serwerze, co może prowadzić do utraty danych lub warunków odmowy usługi.
Ocena ryzyka
Uwierzytelniony atakujący może usunąć krytyczne foldery, co może spowodować utratę danych lub niedostępność usługi.
Rekomendacja
Zaktualizuj wtyczkę 10Web Booster do najnowszej wersji, która zawiera poprawkę. Ogranicz dostęp do kont o niskich uprawnieniach, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
The 10Web Booster – Website speed optimization, Cache & Page Speed optimizer plugin for WordPress is vulnerable to arbitrary folder deletion due to insufficient file path validation in the get_cache_dir_for_page_from_url() function in all versions up to, and including, 2.32.7. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary folders on the server, which can easily lead to a loss of data or a denial of service condition.