CVE-2025-14481

ŚrednieCVSS 4.3

Opublikowano: 27/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Yoast SEO dla WordPressa do wersji 26.5 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w punkcie końcowym REST API Meta Search. Brakuje w nim odpowiednich kontroli autoryzacji, które weryfikowałyby własność posta, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na odczyt wrażliwych metadanych SEO z dowolnego posta na stronie, w tym postów innych użytkowników, prywatnych i szkiców.

Ocena ryzyka

Organizacja ryzykuje wyciekiem poufnych danych SEO, które mogą ujawnić strategię pozycjonowania, treści niepubliczne lub informacje o strukturze witryny.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Yoast SEO do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą tę lukę.

Inne podatności w Yoast SEO

CVE-2026-15425Średnie
Wtyczka Yoast SEO dla WordPressa do wersji 28.0 włącznie jest podatna na trwałe ataki XSS poprzez pole Post Slug (post_name). Atakujący z dostępem na poziomie autora lub wyższym może wstrzyknąć złośliwy skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie. Warunkiem jest włączenie przyjaznych permalinków.

Oryginalny opis (angielski, źródło NVD)

The Yoast SEO plugin for WordPress is vulnerable to Insecure Direct Object References in all versions up to, and including, 26.5. This is due to insufficient authorization checks in the Meta Search REST API endpoint that fail to verify post ownership. This makes it possible for authenticated attackers, with Contributor-level access and above, to read sensitive SEO metadata from any post on the site via the 'post_id' parameter, including posts owned by other users, private posts, and draft posts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS