CVE-2025-14301
KrytyczneStreszczenie
Wtyczka Integration Opvius AI dla WooCommerce w WordPressie jest podatna na atak typu Path Traversal we wszystkich wersjach do 1.3.0 włącznie. Problem wynika z funkcji `process_table_bulk_actions()`, która przetwarza ścieżki plików dostarczone przez użytkowników bez odpowiednich kontroli uwierzytelnienia, weryfikacji nonce lub walidacji ścieżek.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą usunąć lub pobrać dowolne pliki z serwera, co stwarza poważne zagrożenie dla integralności i poufności danych, w tym krytycznych plików konfiguracyjnych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów zabezpieczających, takich jak weryfikacja użytkowników i walidacja ścieżek plików.
Oryginalny opis (angielski, źródło NVD)
The Integration Opvius AI for WooCommerce plugin for WordPress is vulnerable to Path Traversal in all versions up to, and including, 1.3.0. This is due to the `process_table_bulk_actions()` function processing user-supplied file paths without authentication checks, nonce verification, or path validation. This makes it possible for unauthenticated attackers to delete or download arbitrary files on the server via the `wsaw-log[]` POST parameter, which can be leveraged to delete critical files like `wp-config.php` or read sensitive configuration files.