CVE-2025-6833

ŚrednieCVSS 4.3

Opublikowano: 22/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka All in One Time Clock Lite dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 2.0 włącznie, poprzez akcję AJAX 'aio_time_clock_lite_js' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej rejestrowanie czasu pracy innych użytkowników (clock in/out).

Ocena ryzyka

Ryzyko polega na możliwości manipulowania danymi czasu pracy innych użytkowników, co może prowadzić do fałszowania raportów i naruszenia integralności danych.

Rekomendacja

Zaleca się aktualizację wtyczki All in One Time Clock Lite do wersji, która zawiera poprawkę walidacji klucza.

Inne podatności w All in One Time Clock Lite

CVE-2025-11758Średnie
Wtyczka All in One Time Clock Lite dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień we wszystkich wersjach do 2.0.3 włącznie. Wtyczka udostępnia akcje AJAX na poziomie administratora nieuwierzytelnionym użytkownikom poprzez hooki wp_ajax_nopriv_, opierając się tylko na sprawdzeniu nonce bez weryfikacji uprawnień. Umożliwia to nieuwierzytelnionym atakującym tworzenie opublikowanych stron, tworzenie rekordów zmian z problemami integralności oraz pobieranie raportów czasu zawierających dane osobowe (imiona i nazwiska pracowników oraz harmonogramy pracy).

Oryginalny opis (angielski, źródło NVD)

The All in One Time Clock Lite – Tracking Employee Time Has Never Been Easier plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.0 via the 'aio_time_clock_lite_js' AJAX action due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber access and above, to clock other users in and out.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS