CVE-2025-4519

WysokieCVSS 8.8

Opublikowano: 07/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPress jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji idonate_donor_password() w wersjach 2.1.5 do 2.1.9. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym zainicjowanie resetu hasła dla dowolnego użytkownika (w tym administratorów) i eskalację uprawnień do pełnego przejęcia witryny.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może przejąć konto administratora i całkowicie przejąć witrynę WordPress, co może prowadzić do kradzieży danych, defacementu lub dalszych ataków.

Rekomendacja

Zaktualizuj wtyczkę IDonate do najnowszej wersji, która zawiera poprawkę, oraz ogranicz dostęp do kont o niskich uprawnieniach.

Inne podatności w IDonate WordPress Plugin

CVE-2025-11154Średnie
Wtyczka WordPress IDonate w wersjach przed 2.1.13 nie sprawdza uprawnień ani tokenu CSRF przy usuwaniu użytkowników przez akcję. Umożliwia to nieuwierzytelnionemu atakującemu usunięcie dowolnego użytkownika.

Oryginalny opis (angielski, źródło NVD)

The IDonate – Blood Donation, Request And Donor Management System plugin for WordPress is vulnerable to Privilege Escalation due to a missing capability check on the idonate_donor_password() function in versions 2.1.5 to 2.1.9. This makes it possible for authenticated attackers, with Subscriber-level access and above, to initiate a password reset for any user (including administrators) and elevate their privileges for full site takeover.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS