CVE-2025-13794

ŚrednieCVSS 4.3

Opublikowano: 16/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Auto Featured Image (Auto Post Thumbnail) dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji bulk_action_generate_handler we wszystkich wersjach do 4.2.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym usuwanie lub generowanie wyróżnionych obrazów na postach, których nie są właścicielami.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanej modyfikacji treści postów, co może prowadzić do naruszenia integralności danych i zakłócenia działania witryny.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę zabezpieczającą przed tym problemem.

Inne podatności w Auto Featured Image (Auto Post Thumbnail)

CVE-2026-61970Średnie
Wtyczka Auto Featured Image (Auto Post Thumbnail) dla WordPressa w wersji do 5.0.4 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych.

Oryginalny opis (angielski, źródło NVD)

The Auto Featured Image (Auto Post Thumbnail) plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the bulk_action_generate_handler function in all versions up to, and including, 4.2.1. This makes it possible for authenticated attackers, with Contributor-level access and above, to delete or generate featured images on posts they do not own.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS