CVE-2025-11758

ŚrednieCVSS 6.5

Opublikowano: 04/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka All in One Time Clock Lite dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień we wszystkich wersjach do 2.0.3 włącznie. Wtyczka udostępnia akcje AJAX na poziomie administratora nieuwierzytelnionym użytkownikom poprzez hooki wp_ajax_nopriv_, opierając się tylko na sprawdzeniu nonce bez weryfikacji uprawnień. Umożliwia to nieuwierzytelnionym atakującym tworzenie opublikowanych stron, tworzenie rekordów zmian z problemami integralności oraz pobieranie raportów czasu zawierających dane osobowe (imiona i nazwiska pracowników oraz harmonogramy pracy).

Ocena ryzyka

Nieuwierzytelniony atakujący może tworzyć treści, modyfikować dane i uzyskiwać dostęp do danych osobowych pracowników. Może to prowadzić do naruszenia prywatności i integralności danych.

Rekomendacja

Zaktualizuj wtyczkę All in One Time Clock Lite do wersji powyżej 2.0.3. Wdróż dodatkowe kontrole uprawnień i monitoruj nietypowe działania AJAX.

Inne podatności w All in One Time Clock Lite

CVE-2025-6833Średnie
Wtyczka All in One Time Clock Lite dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 2.0 włącznie, poprzez akcję AJAX 'aio_time_clock_lite_js' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej rejestrowanie czasu pracy innych użytkowników (clock in/out).

Oryginalny opis (angielski, źródło NVD)

The All in One Time Clock Lite plugin for WordPress is vulnerable to unauthorized access due to a missing authorization check in all versions up to, and including, 2.0.3. This is due to the plugin exposing admin-level AJAX actions to unauthenticated users via wp_ajax_nopriv_ hooks, while relying only on a nonce check without capability checks. This makes it possible for unauthenticated attackers to create published pages, create shift records with integrity issues, and download time reports containing PII (employee names and work schedules).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS