CVE-2025-10249
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Slider Revolution dla WordPress w wersjach do 6.7.37 włącznie jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzania uprawnień w kilku funkcjach. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą instalować i aktywować dodatki, tworzyć slidery i pobierać dowolne pliki.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może zainstalować złośliwe dodatki, tworzyć nieautoryzowane treści lub pobrać poufne pliki, co może prowadzić do dalszej eskalacji. Może to zaszkodzić integralności i poufności witryny.
Rekomendacja
Zaktualizuj wtyczkę Slider Revolution do wersji nowszej niż 6.7.37. Dodatkowo przejrzyj uprawnienia użytkowników i usuń niepotrzebne konta Contributor.
Inne podatności w Slider Revolution
Zobacz wszystkie- CVE-2026-57678Wysokie
Wtyczka Slider Revolution w wersjach od 7.0.0 do 7.0.16 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt do żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-7542Średnie
Wtyczka Slider Revolution dla WordPress w wersjach 7.0 do 7.0.10 umożliwia ujawnienie wrażliwych informacji. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta mogą odczytać zawartość plików serwera (np. .sql, .log, .json) poprzez skopiowanie ich do publicznie dostępnego katalogu.
- CVE-2026-9050Średnie
Wtyczka Slider Revolution dla WordPressa w wersjach 6.0.0-6.7.55 i 7.0.0-7.0.14 jest podatna na nieautoryzowaną modyfikację danych. Brak weryfikacji uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym dezaktywację dowolnej aktywnej wtyczki na stronie.
- CVE-2026-9048Średnie
Wtyczka Slider Revolution dla WordPress w wersjach 7.0.0 – 7.0.14 ujawnia wrażliwe dane poprzez akcję AJAX 'slider.get.full'. Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wyodrębnić surowe dane uwierzytelniające API mediów społecznościowych, takie jak token OAuth Instagrama, klucz API Flickra, klucz API YouTube i ID aplikacji Facebook.
- CVE-2026-6728Średnie
Wtyczka Slider Revolution dla WordPress do wersji 7.0.9 zawiera podatność ujawniania wrażliwych informacji poprzez funkcję 'get_stream_data()'. Niezautoryzowani atakujący mogą wyodrębnić dane, w tym treść chronionych hasłem postów, stron i produktów.
- CVE-2025-9217Średnie
Wtyczka Slider Revolution dla WordPressa w wersjach do 6.7.36 włącznie jest podatna na path traversal poprzez parametry 'used_svg' i 'used_images'. Uwierzytelniony atakujący z poziomem dostępu Contributor lub wyższym może odczytać dowolne pliki na serwerze, które mogą zawierać poufne informacje.
Oryginalny opis (angielski, źródło NVD)
The Slider Revolution plugin for WordPress is vulnerable to unauthorized access and modification of data due to a missing capability check on several functions in all versions up to, and including, 6.7.37. This makes it possible for authenticated attackers, with Contributor-level access and above, to install and activate plugin add-ons, create sliders, and download arbitrary files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS