CVE-2025-11176
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Quick Featured Images dla WordPressa jest podatna na niebezpieczny bezpośredni odwołanie do obiektu (IDOR) we wszystkich wersjach do 13.7.2 włącznie, poprzez akcje AJAX qfi_set_thumbnail i qfi_delete_thumbnail z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym zmianę lub usunięcie wyróżnionych obrazów postów innych użytkowników.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanej modyfikacji treści, co może prowadzić do naruszenia integralności danych i zaufania użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Quick Featured Images do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w Quick Featured Images
Oryginalny opis (angielski, źródło NVD)
The Quick Featured Images plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 13.7.2 via the qfi_set_thumbnail and qfi_delete_thumbnail AJAX actions due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Author-level access and above, to change or remove featured images of other user's posts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS