CVE-2025-12677

ŚrednieCVSS 5.3

Opublikowano: 05/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka KiotViet Sync dla WordPress jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.8.5 włącznie, poprzez funkcję register_api_route() w pliku kiotvietsync/includes/public_actions/WebHookAction.php. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie wartości tokena webhooka, jeśli jest skonfigurowany.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać token webhooka, co może prowadzić do nieautoryzowanego dostępu do integracji. Może to naruszyć bezpieczeństwo danych.

Rekomendacja

Zaktualizuj wtyczkę KiotViet Sync do wersji powyżej 1.8.5. Jeśli to możliwe, zmień token webhooka i monitoruj nieautoryzowane użycie.

Inne podatności w KiotViet Sync

CVE-2025-62978Średnie
Wtyczka KiotViet Sync dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji od n/a do 1.8.5 włącznie.

Oryginalny opis (angielski, źródło NVD)

The KiotViet Sync plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.8.5 via the register_api_route() function in kiotvietsync/includes/public_actions/WebHookAction.php. This makes it possible for unauthenticated attackers to extract the webhook token value when configured.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS