CVE-2025-4522

ŚrednieCVSS 6.5

Opublikowano: 07/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji admin_post_donor_delete() w wersjach 2.0.0 do 2.1.9. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber lub wyższym mogą usunąć dowolne konta użytkowników, w tym administratorów, poprzez podanie dowolnej wartości parametru user_id do funkcji wp_delete_user().

Ocena ryzyka

Atakujący może usunąć konta administratorów, co prowadzi do całkowitej utraty kontroli nad witryną WordPress i potencjalnego przejęcia jej.

Rekomendacja

Zaktualizuj wtyczkę IDonate do najnowszej wersji, która zawiera poprawkę. Ogranicz dostęp do kont o wysokich uprawnieniach i monitoruj aktywność użytkowników.

Inne podatności w IDonate

CVE-2025-67583Średnie
Wtyczka IDonate (idonate) do wersji 2.1.15 włącznie zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Oryginalny opis (angielski, źródło NVD)

The IDonate – Blood Donation, Request And Donor Management System plugin for WordPress is vulnerable to Insecure Direct Object Reference via the admin_post_donor_delete() function in versions 2.0.0 to 2.1.9. By supplying an arbitrary user_id parameter value to the wp_delete_user() function, authenticated attackers, with Subscriber-level access and above could delete arbitrary user accounts, including those of administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS