CVE-2025-12894
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Import WP – Export and Import CSV and XML files do WordPressa do wersji 2.14.17 jest podatna na ujawnienie wrażliwych informacji z powodu braku ochrony .htaccess. Nieuwierzytelnieni atakujący mogą wyodrębnić dane z eksportów przechowywanych w /exportwp oraz importować dane z /importwp.
Ocena ryzyka
Ryzyko obejmuje wyciek wrażliwych danych, takich jak dane osobowe lub biznesowe, które mogą być wykorzystane do kradzieży tożsamości lub szpiegostwa.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz dodanie reguł .htaccess chroniących katalogi /exportwp i /importwp.
Inne podatności w Import WP
Zobacz wszystkie- CVE-2026-14925Wysokie
Wtyczka WordPress Import WP przed wersją 2.14.23 nie przeprowadza żadnej kontroli autoryzacji w jednym z handlerów pobierania plików eksportu. Niezalogowani atakujący mogą pobierać pliki eksportu wygenerowane przez administratorów, które mogą zawierać dane osobowe użytkowników, takie jak adresy e-mail, nazwy logowania i role. Wykorzystanie wymaga istnienia niewykorzystanego eksportu i uzyskania klucza pobierania opartego na czasie o niskiej entropii.
- CVE-2025-12137Średnie
Wtyczka Import WP dla WordPressa w wersjach do 2.14.16 włącznie jest podatna na odczyt dowolnych plików. Punkt końcowy REST API akceptuje dowolne bezwzględne ścieżki plików bez walidacji w funkcji attach_file() przy obsłudze akcji file_local, co pozwala uwierzytelnionym atakującym z uprawnieniami administratora na odczyt plików serwera.
Oryginalny opis (angielski, źródło NVD)
The Import WP – Export and Import CSV and XML files to WordPress plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.14.17 via the import/export functionality and a lack of .htaccess protection. This makes it possible for unauthenticated attackers to extract sensitive data from exports stored in /exportwp and import data stored in /importwp.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS