CVE-2025-14442

ŚrednieCVSS 5.3

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Wtyczka Secure Copy Content Protection and Content Locking dla WordPress do wersji 4.9.2 włącznie przechowuje eksportowane pliki CSV w publicznie dostępnym katalogu z przewidywalnymi nazwami. Niezautoryzowani atakujący mogą uzyskać dostęp do wrażliwych danych użytkowników, takich jak e-maile, adresy IP, nazwy użytkowników, role i dane lokalizacyjne.

Ocena ryzyka

Ryzyko masowego wycieku danych osobowych użytkowników, co może naruszyć RODO i inne przepisy.

Rekomendacja

Zaktualizuj wtyczkę do najnowszej wersji. Przenieś eksportowane pliki do chronionego katalogu i zastosuj losowe nazwy plików.

Inne podatności w Secure Copy Content Protection and Content Locking

CVE-2025-14159Średnie
Wtyczka Secure Copy Content Protection and Content Locking dla WordPressa do wersji 4.9.2 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w akcji AJAX 'ays_sccp_results_export_file'. Umożliwia to nieuwierzytelnionym atakującym eksportowanie wrażliwych danych wtyczki, w tym adresów e-mail, adresów IP, adresów fizycznych, identyfikatorów użytkowników i innych informacji, poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku. Wyeksportowane dane są przechowywane w publicznie dostępnym pliku, co pozwala atakującym otrzymać wrażliwe informacje nawet bez uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

The Secure Copy Content Protection and Content Locking plugin for WordPress is vulnerable to sensitive information exposure due to storage of exported CSV files in a publicly accessible directory with predictable filenames in all versions up to, and including, 4.9.2. This makes it possible for unauthenticated attackers to access sensitive user data including emails, IP addresses, usernames, roles, and location data by directly accessing the exported CSV file.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS