CVE-2025-12721

ŚrednieCVSS 5.3

Opublikowano: 06/12/2025(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka g-FFL Cockpit dla WordPressa (wersje do 1.7.1 włącznie) jest podatna na ujawnienie poufnych informacji poprzez endpoint REST API /server_status z powodu braku sprawdzania uprawnień. Nieuwierzytelnieni atakujący mogą uzyskać informacje o serwerze.

Ocena ryzyka

Ujawnienie informacji o serwerze może pomóc atakującemu w dalszych atakach, np. poprzez poznanie wersji oprogramowania lub konfiguracji.

Rekomendacja

Zaktualizuj wtyczkę g-FFL Cockpit do najnowszej wersji. Rozważ ograniczenie dostępu do endpointu /server_status lub dodanie uwierzytelniania.

Inne podatności w g-FFL Cockpit

CVE-2025-12720Średnie
Wtyczka g-FFL Cockpit dla WordPressa (wersje do 1.7.1 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu autoryzacji opartej na adresie IP, którą można podszyć się w funkcji handle_enqueue_only(). Nieuwierzytelnieni atakujący mogą usuwać dowolne produkty.

Oryginalny opis (angielski, źródło NVD)

The g-FFL Cockpit plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.7.1 via the /server_status REST API endpoint due to a lack of capability checks. This makes it possible for unauthenticated attackers to extract information about the server.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS