CVE-2025-69133

Wtyczka Tourmaster w wersji 5.4.5 i starszych zawiera podatność na lokalne dołączanie plików (LFI) przez subskrybenta. Umożliwia to uwierzytelnionemu użytkownikowi z rolą subskrybenta odczyt dowolnych plików na serwerze.

Atakujący może uzyskać dostęp do poufnych plików konfiguracyjnych, haseł lub danych użytkowników, co prowadzi do naruszenia poufności i potencjalnej eskalacji uprawnień.

Należy natychmiast zaktualizować wtyczkę Tourmaster do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do niej.