CVE-2025-9218
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersjach 4.7.0 do 4.7.3 jest podatna na ujawnienie informacji z powodu braku autoryzacji w funkcji handle_rest_pre_dispatch(), gdy aktywna jest wtyczka Godam. Pozwala to nieuwierzytelnionym atakującym na pobieranie elementów multimedialnych powiązanych z wersjami roboczymi lub prywatnymi wpisami.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać dostęp do prywatnych multimediów, co może prowadzić do ujawnienia poufnych treści.
Rekomendacja
Zaktualizuj wtyczkę rtMedia do wersji nowszej niż 4.7.3, jeśli dostępna jest poprawka. Sprawdź, czy wtyczka Godam jest niezbędna.
Inne podatności w rtMedia
Zobacz wszystkie- CVE-2026-59549Krytyczne
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersji 4.7.10 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-16482Wysokie
Wtyczka rtMedia dla WordPressa, BuddyPress i bbPress w wersjach do 4.7.11 włącznie jest podatna na czasową ślepą iniekcję SQL poprzez parametr 'compare' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionemu atakującemu dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana na dowolnej publicznej stronie zawierającej shortcode rtMedia (np. [rtmedia_gallery]) przy ustawionym parametrze GET rtmedia_shortcode, ponieważ RTMediaQuery::query() scala $_REQUEST z wewnętrznym zapytaniem, walidując tylko klucze najwyższego poziomu.
Oryginalny opis (angielski, źródło NVD)
The rtMedia for WordPress, BuddyPress and bbPress plugin for WordPress is vulnerable to to Information Disclosure due to missing authorization in the handle_rest_pre_dispatch() function when the Godam plugin is active, in versions 4.7.0 to 4.7.3. This makes it possible for unauthenticated attackers to retrieve media items associated with draft or private posts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS