CVE-2026-14925
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Import WP przed wersją 2.14.23 nie przeprowadza żadnej kontroli autoryzacji w jednym z handlerów pobierania plików eksportu. Niezalogowani atakujący mogą pobierać pliki eksportu wygenerowane przez administratorów, które mogą zawierać dane osobowe użytkowników, takie jak adresy e-mail, nazwy logowania i role. Wykorzystanie wymaga istnienia niewykorzystanego eksportu i uzyskania klucza pobierania opartego na czasie o niskiej entropii.
Ocena ryzyka
Ryzyko wycieku danych osobowych użytkowników, co może naruszyć RODO i inne przepisy o ochronie danych. Atakujący może uzyskać dane uwierzytelniające i role użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Import WP do wersji 2.14.23 lub nowszej. Usuń niepotrzebne pliki eksportu i wzmocnij mechanizmy autoryzacji.
Inne podatności w Import WP
Zobacz wszystkie- CVE-2025-12894Średnie
Wtyczka Import WP – Export and Import CSV and XML files do WordPressa do wersji 2.14.17 jest podatna na ujawnienie wrażliwych informacji z powodu braku ochrony .htaccess. Nieuwierzytelnieni atakujący mogą wyodrębnić dane z eksportów przechowywanych w /exportwp oraz importować dane z /importwp.
- CVE-2025-12137Średnie
Wtyczka Import WP dla WordPressa w wersjach do 2.14.16 włącznie jest podatna na odczyt dowolnych plików. Punkt końcowy REST API akceptuje dowolne bezwzględne ścieżki plików bez walidacji w funkcji attach_file() przy obsłudze akcji file_local, co pozwala uwierzytelnionym atakującym z uprawnieniami administratora na odczyt plików serwera.
Oryginalny opis (angielski, źródło NVD)
The Import WP WordPress plugin before 2.14.23 does not perform any authorization check on one of its export-file download handlers, allowing unauthenticated attackers to download export files generated by administrators, which may contain user personal data such as email addresses, login names and roles. Exploitation requires an unconsumed export to already exist and a low-entropy, time-based download key to be obtained.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS