CVE-2025-68064

Podatność Local File Inclusion (LFI) wtyczki Goya Core w wersjach starszych niż 1.0.9.4 umożliwia osobie z rolą kontrybutora odczyt dowolnych plików na serwerze.

Atakujący z uprawnieniami kontrybutora może uzyskać dostęp do wrażliwych plików konfiguracyjnych, danych użytkowników lub kodu źródłowego, co może prowadzić do eskalacji uprawnień lub wycieku danych.

Należy niezwłocznie zaktualizować wtyczkę Goya Core do wersji 1.0.9.4 lub nowszej oraz ograniczyć uprawnienia kontrybutorów do minimum niezbędnego do pracy.