CVE-2025-62978

ŚrednieCVSS 4.3

Opublikowano: 27/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka KiotViet Sync dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji od n/a do 1.8.5 włącznie.

Ocena ryzyka

Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do modyfikacji danych, kradzieży informacji lub przejęcia kontroli nad wtyczką.

Rekomendacja

Zaktualizuj wtyczkę KiotViet Sync do wersji nowszej niż 1.8.5, która zawiera poprawkę. Sprawdź konfigurację uprawnień i ogranicz dostęp do niezbędnych ról.

Inne podatności w KiotViet Sync

CVE-2025-12677Średnie
Wtyczka KiotViet Sync dla WordPress jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.8.5 włącznie, poprzez funkcję register_api_route() w pliku kiotvietsync/includes/public_actions/WebHookAction.php. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie wartości tokena webhooka, jeśli jest skonfigurowany.

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in Kiotviet KiotViet Sync kiotvietsync allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects KiotViet Sync: from n/a through <= 1.8.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS